Πώς να ελέγξετε αν ένας πελάτης VPN υποστηρίζει πραγματικά SSTP

Το να χαρακτηρίσεις ένα προϊόν πελάτη VPN δεν λέει τίποτα για το αν μιλάει SSTP, και η θύρα 443 στη διεύθυνση αποδεικνύει ακόμη λιγότερα. Το SSTP τρέχει TLS πάνω από TCP 443, μετά μια ανταλλαγή ελέγχου SSTP, μετά PPP για τη ζεύξη αυτή καθαυτή, με επικύρωση πιστοποιητικού και μια μέθοδο ελέγχου ταυτότητας PPP από πάνω. Ένας πελάτης υποστηρίζει το πρωτόκολλο μόνο όταν η δηλωμένη υλοποίηση, στην εγκατεστημένη έκδοση, ολοκληρώνει καθένα από αυτά τα στρώματα σύμφωνα με τις απαιτήσεις του διακομιστή σας. Εκτελέστε τους ελέγχους παρακάτω με τη σειρά και σταματήστε στον πρώτο που αποτυγχάνει, γιατί αυτός αξίζει να λυθεί.

Αντιστοιχίστε υλοποίηση, έκδοση και πλατφόρμα

Ξεκινήστε από την πλατφόρμα, την εφαρμογή και την εγκατεστημένη έκδοση, γιατί ένα όνομα κατασκευαστή μπορεί να βρίσκεται πάνω σε δύο εντελώς διαφορετικές υλοποιήσεις. Οι ενσωματωμένοι τύποι VPN και οι πελάτες τρίτων δεν είναι το ίδιο πράγμα, και ένα πρόσθετο μπορεί να εμφανίζει ετικέτα προσαρμογέα που δεν περιγράφει το πρωτόκολλο από κάτω. Η τεκμηρίωση της τρέχουσας έκδοσης δεν περιγράφει την έκδοση που τρέχει στο μηχάνημα μπροστά σας. Διαβάστε τη σελίδα για τη συγκεκριμένη έκδοση και συγκρίνετέ τη με ό,τι δηλώνει ο πελάτης για τον εαυτό του.

Στα Windows ο τύπος σήραγγας προέρχεται από την πλατφόρμα και όχι από το GUI, οπότε ρωτήστε την πλατφόρμα. Το Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress εμφανίζει Sstp όταν ο εγγενής πελάτης θα δοκιμάσει το πρωτόκολλο, και η αναφορά τύπων σύνδεσης το αναφέρει στους ενσωματωμένους τύπους σήραγγας. Στο Linux δεν υπάρχει καθόλου εγγενής πελάτης SSTP, οπότε το ερώτημα γίνεται αν μια ξεχωριστή υλοποίηση όπως το sstpc από το πακέτο sstp-client είναι εγκατεστημένη και ενημερωμένη.

Διαβάστε τη μορφή του προφίλ πριν από την ετικέτα

Τα προφίλ δεν είναι εναλλάξιμα, και το αρχείο που σας έδωσαν συνήθως απαντά στο ερώτημα γρηγορότερα από οποιαδήποτε λίστα δυνατοτήτων. Οι οδηγίες του OpenVPN, τα κλειδιά του WireGuard και οι ρυθμίσεις σύνδεσης SSTP περιγράφουν τρία άσχετα πρωτόκολλα, και κανένα παράθυρο εισαγωγής δεν μετατρέπει το ένα στο άλλο. Η κοινή θύρα TCP 443 δεν μεταφράζει τίποτα, αφού το SSTP, το OpenVPN πάνω από TLS και μια συνηθισμένη υπηρεσία HTTPS μπορούν να καταλαμβάνουν την ίδια θύρα χωρίς να έχουν τίποτα κοινό πάνω από αυτή.

Αν το αρχείο είναι .ovpn ή ρυθμίσεις WireGuard, η απάντηση είναι ήδη γνωστή: από αυτόν τον πελάτη δεν ζητείται να μιλήσει SSTP. Η εισαγωγή του σε πελάτη που κάνει μόνο SSTP αποτυγχάνει στο στάδιο του προφίλ, πολύ πριν αρχίσει οποιαδήποτε διαπραγμάτευση πρωτοκόλλου.

Τι δεν αποδεικνύει το TLS για την ανάπτυξη

Μια ολοκληρωμένη χειραψία TLS αποδεικνύει ότι ο διακομιστής έχει πιστοποιητικό και δεν αποδεικνύει τίποτα για το αν ο πελάτης σας εμπιστεύεται την αλυσίδα έκδοσης ή αν ταιριάζει το όνομα μέσα σε αυτή. Η επικύρωση πρέπει να πετύχει απέναντι στον προοριζόμενο διακομιστή, συμπεριλαμβανομένης οποιασδήποτε ιδιωτικής CA που διαχειρίζεται ο οργανισμός, και ένας πελάτης που προσφέρει παράκαμψη σφαλμάτων πιστοποιητικού έχει αφαιρέσει τον έλεγχο αντί να αποκτήσει υποστήριξη πρωτοκόλλου. Η επικύρωση αλυσίδας και η αντιστοίχιση ονόματος είναι δύο ξεχωριστές δοκιμές, και μια στοίβα που περνά τη μία μπορεί να αποτύχει στην άλλη. Και οι δύο ανήκουν στα κριτήρια αποδοχής, όχι στο παράρτημα αντιμετώπισης προβλημάτων.

Στη συνέχεια επιβεβαιώστε τη μέθοδο ελέγχου ταυτότητας PPP, γιατί μια ανάπτυξη με EAP-TLS χρειάζεται πελάτη που μπορεί να παρουσιάσει πιστοποιητικό μέσα στο PPP, ενώ μια μέθοδος με κωδικό χρειάζεται υποστήριξη αυτής της ανταλλαγής. Η διεύθυνση διακομιστή και ένας κωδικός δεν περιγράφουν την πραγματική απαίτηση του οργανισμού, ειδικά όταν μπροστά της στέκεται δεύτερος παράγοντας ή έλεγχος συσκευής. Ρωτήστε ποια μέθοδο επιβάλλει ο διακομιστής πριν υποθέσετε ότι ο πελάτης μπορεί να την ικανοποιήσει.

Παρακολουθήστε τη συνεδρία σε τέσσερα στάδια

Δείτε τη σύνδεση να περνά τέσσερα σύνορα: TCP και TLS προς τον διακομιστή, την ανταλλαγή ελέγχου SSTP, τη διαπραγμάτευση PPP και μετά τον πόρο που πραγματικά χρειάζεστε. Ένα αρχείο καταγραφής που σταματά μετά το TLS περιγράφει διαφορετική βλάβη από ένα που σταματά μέσα στο PPP, και τα δύο οδηγούν σε διαφορετικούς υπευθύνους. Η φόρτωση της ιστοσελίδας του κεντρικού υπολογιστή από ένα πρόγραμμα περιήγησης αποδεικνύει μόνο ότι κάτι απάντησε στη θύρα 443, που είναι το συνηθέστερο ψευδώς θετικό αποτέλεσμα σε αυτόν τον τομέα. Αν η σελίδα φορτώνει ενώ ο πελάτης εξακολουθεί να αποτυγχάνει, το πρόβλημα βρίσκεται πάνω από το TLS και ο διακομιστής ιστού δεν είναι ο ύποπτος.

Τελειώστε με έναν πραγματικό ιδιωτικό πόρο και μια αναζήτηση ονόματος, γιατί μια συνεδρία που στήνεται και δεν μεταφέρει τίποτα μοιάζει με λειτουργική στα περισσότερα παράθυρα κατάστασης. Ένα επιτυχές αίτημα προς τον πόρο που χρειάζεστε απαντά σε ένα ερώτημα που το εικονίδιο δεν μπορεί.

Όταν λείπει η υποστήριξη, αλλάξτε το σχέδιο

Αν ο πελάτης δεν μπορεί να μιλήσει SSTP, προμηθευτείτε μια εγκεκριμένη εναλλακτική ή ζητήστε από τον ιδιοκτήτη του διακομιστή ένα πρωτόκολλο που υποστηρίζουν και οι δύο πλευρές. Η διαγραφή μη αναγνωρισμένων επιλογών μέχρι να πετύχει μια εισαγωγή παράγει προφίλ που δεν συνδέεται με τίποτα, μια πιο αργή διαδρομή στο ίδιο αδιέξοδο. Ένας εγκαταστάτης από άγνωστη πηγή που διαφημίζει καθολική συμβατότητα προσθέτει ένα μη εγκεκριμένο μονοπάτι εμπιστοσύνης στο μηχάνημα και συχνά αντικαθιστά τον πελάτη της πλατφόρμας με κάτι που ο οργανισμός δεν μπορεί να ενημερώσει. Καμία από τις δύο κινήσεις δεν είναι διόρθωση, και οι δύο αντιστρέφονται δυσκολότερα από το αρχικό πρόβλημα.

Αντιμετωπίστε το ζήτημα συμβατότητας χωριστά από την επίδοση και την επιλογή τελικού σημείου, γιατί ένας κοντινός διακομιστής είναι άχρηστος όταν ο πελάτης δεν μπορεί να μιλήσει το πρωτόκολλό του. Η ρύθμιση καθυστέρησης δεν επιδιορθώνει ένα στάδιο που δεν ολοκληρώνεται ποτέ.