Το SSTP επαληθεύει πρώτα τον διακομιστή και μετά τον χρήστη
Το SSTP επικυρώνει πρώτα το πιστοποιητικό του διακομιστή και επαληθεύει τον χρήστη αργότερα, μέσω PPP. Αντιστοιχίστε το σφάλμα στο στάδιο αντί να αγγίζετε και τα δύο μαζί.
Ένας πελάτης SSTP μπορεί να ολοκληρώσει το TLS και παρ’ όλα αυτά να απορρίψει τον χρήστη ένα δευτερόλεπτο αργότερα. Αυτή η σειρά δεν είναι σφάλμα, είναι η στοίβα πρωτοκόλλων: πρώτα ασφάλεια μεταφοράς, μετά επαλήθευση χρήστη. Επειδή τα δύο στάδια αποτυγχάνουν με διαφορετικά μηνύματα, χρειάζονται και διαφορετικές διορθώσεις. Το να διαβάσετε ποιο στάδιο παρήγαγε το σφάλμα είναι το μεγαλύτερο μέρος της διάγνωσης.
Ένα έμπιστο πιστοποιητικό αποδεικνύει το τελικό σημείο· δεν λέει τίποτα για τον λογαριασμό.
Τι καθορίζει η χειραψία TLS
Ο πελάτης επικυρώνει το πιστοποιητικό που παρουσιάζει ο διακομιστής έναντι της αποθήκης εμπιστοσύνης του, του ζητούμενου ονόματος κεντρικού υπολογιστή, του παραθύρου εγκυρότητας και οποιασδήποτε πρόσθετης πολιτικής εφαρμόζει η πλατφόρμα. Αυτό προστατεύει τη σύνδεση προς το προβλεπόμενο τελικό σημείο. Δεν αποδεικνύει ότι ένας συγκεκριμένος λογαριασμός είναι ενεργοποιημένος, μη ληγμένος ή επιτρεπόμενος για απομακρυσμένη πρόσβαση. Αυτά είναι ξεχωριστά ερωτήματα που τίθενται αργότερα από άλλο στοιχείο.
Γι’ αυτό η αφαίρεση των ελέγχων πιστοποιητικού για να φτάσετε στην προτροπή σύνδεσης είναι η λάθος διόρθωση. Παίρνετε μια προτροπή σύνδεσης σε μια σύνδεση που δεν μπορείτε να επαληθεύσετε. Ένα σφάλμα πιστοποιητικού ανήκει στο όνομα κεντρικού υπολογιστή, στο ρολόι, στην αλυσίδα ή στη διαμόρφωση εμπιστοσύνης.
Τι προσθέτουν από πάνω το SSTP και το PPP
Το SSTP τρέχει πάνω από HTTPS και μεταφέρει το PPP μέσα του, με τη δική του ανταλλαγή ελέγχου γύρω από τη σύνδεση. Στη συνέχεια το PPP εκτελεί τις φάσεις ζεύξης και επαλήθευσης, και η μέθοδος επαλήθευσης εξαρτάται από την πολιτική του διακομιστή και τις δυνατότητες του πελάτη. Τα PAP, CHAP, MS-CHAPv2 και EAP είναι όλα επιλογές επαλήθευσης PPP με πολύ διαφορετικές ιδιότητες. Ο έλεγχος χρήστη του VPN είναι αυτή η φάση PPP, όχι το στρώμα TLS από κάτω.
Μια απόρριψη χρήστη μπορεί επομένως να σημαίνει διαπιστευτήρια, περιορισμό λογαριασμού ή αναντιστοιχία μεθόδου.
Ο λόγος στην πλευρά του διακομιστή είναι πολύ πιο χρήσιμος από την επαναφορά κάθε μυστικού στο προφίλ. Ένα συμβάν απενεργοποιημένου λογαριασμού και μια αποτυχία διαπραγμάτευσης μεθόδου φαίνονται παρόμοια στον πελάτη και δεν έχουν τίποτα κοινό στον διακομιστή.
Αντιστοιχίστε το σφάλμα στο στάδιο
Ελέγξτε αν η σύνδεση φτάνει στο TLS, μετά στην ανταλλαγή HTTP του SSTP, μετά στη φάση PPP. Κρατήστε τις χρονικές σφραγίδες των αρχείων καταγραφής ευθυγραμμισμένες μεταξύ των επαναλήψεων, ώστε μια προηγούμενη αποτυχία να μην συγχέεται με μεταγενέστερη επιτυχία. Ένας πελάτης που καταγράφει δύο προσπάθειες σε ένα παράθυρο θα φαίνεται αλλιώς ότι απέτυχε στο τελευταίο στάδιο που έφτασε. Διαβάστε το πρώτο σχετικό σφάλμα, όχι την τελευταία γραμμή.
Η ίδια ευθυγράμμιση μετράει στην πλευρά του διακομιστή, όπου το αρχείο επαλήθευσης και το αρχείο μεταφοράς είναι συχνά ξεχωριστά αρχεία με ξεχωριστά ρολόγια. Δύο λεπτά απόκλισης αρκούν για να φαίνεται αδύνατη μια προφανής αιτία.
Μετά τη σύνδεση, η εξουσιοδότηση παραμένει ξεχωριστή
Μια επιτυχημένη σύνδεση δεν παραχωρεί κάθε ιδιωτικό πόρο. Οι διαδρομές καθορίζουν τι είναι προσβάσιμο, το DNS καθορίζει τι επιλύεται, και κάθε υπηρεσία εξακολουθεί να εφαρμόζει τις δικές της άδειες. Μια συνεδρία που εμφανίζεται συνδεδεμένη είναι δήλωση για τη σήραγγα, όχι για τον κοινόχρηστο φάκελο. Όταν ένας χρήστης μπορεί να συνδεθεί και δεν μπορεί να φτάσει έναν κεντρικό υπολογιστή, η φάση της σήραγγας έχει ήδη ολοκληρωθεί.
Είναι η ίδια στρωμάτωση που έδειξε η χειραψία, ένα επίπεδο πιο πάνω.
Κρατήστε την ανάκτηση λογαριασμού στη διαδικασία που υποστηρίζει ο πάροχος, αντί να αλλάζετε ρυθμίσεις μεταφοράς ως απάντηση σε ρητή άρνηση χρήστη. Το να αλλάζετε τη μεταφορά για να διορθώσετε έναν απενεργοποιημένο λογαριασμό είναι το είδος της διόρθωσης που φαίνεται να λειτουργεί όταν ο λογαριασμός επανενεργοποιείται για άσχετο λόγο.