Το SSTP σε Linux αποτυγχάνει πριν τη σύνδεση; Ελέγξτε τα μέρη εκτέλεσης

Εγκαθιστάτε το πρόσθετο SSTP, το κουμπί επιλογής εμφανίζεται στον επεξεργαστή δικτύου, συμπληρώνετε μια πύλη και ένα όνομα χρήστη, και το προφίλ αποτυγχάνει με γενικό σφάλμα πριν καν ζητήσει κωδικό πρόσβασης. Τίποτα σε αυτή την ακολουθία δεν είναι ασυνήθιστο, και τίποτα σε αυτήν δεν αποδεικνύει ότι το λογισμικό σήραγγας είναι εγκατεστημένο. Μια σύνδεση SSTP συναρμολογείται από μέρη που αποστέλλονται χωριστά: ένα πρόσθετο VPN που μπορεί να εκκινήσει το NetworkManager, το πρόγραμμα πελάτη SSTP που κατέχει τη συνεδρία TLS και PPP, τον δαίμονα PPP από κάτω του, και μια αποθήκη μυστικών που επιτρέπεται να διαβάζει η σύνδεση.

Τι προσθέτει η καταχώριση μενού και τι όχι

Το πρόσθετο συνεισφέρει μια περιγραφή υπηρεσίας που λέει στο NetworkManager πώς να το εκκινήσει, και στις περισσότερες διανομές έναν μικρό επεξεργαστή που σχεδιάζει τη φόρμα. Αυτό είναι όλο το εύρος της καταχώρισης μενού. Το πρόγραμμα πελάτη προέρχεται από άλλο πακέτο πηγαίου κώδικα, και το ίδιο το README του πρόσθετου λέει τον διαχωρισμό ευθέως: είναι πρόσθετο, όχι πελάτης.

Ο πελάτης χρειάζεται μετά PPP, επειδή το SSTP μεταφέρει συνεδρία PPP μέσα σε σύνδεση TLS. Χωρίς pppd η σήραγγα μπορεί να ολοκληρώσει τη χειραψία TLS και να πεθάνει στο πρώτο πλαίσιο ελέγχου, που μοιάζει με πρόβλημα διαπιστευτηρίων και δεν είναι. Στο Debian και το Ubuntu τα μέρη έρχονται ως network-manager-sstp, sstp-client και ppp, και η εγκατάσταση μόνο του πρώτου είναι ο συνηθέστερος λόγος που μια φόρμα δέχεται κάθε πεδίο ενώ η σύνδεση δεν ολοκληρώνεται ποτέ.

Η επιλογή επιφάνειας εργασίας προσθέτει έναν ακόμη διαχωρισμό. Το Plasma επεξεργάζεται προφίλ μέσω του plasma-nm, που χρειάζεται το δικό του στοιχείο SSTP και διαβάζει την ίδια περιγραφή υπηρεσίας, οπότε ένας επεξεργαστής χωρίς καταχώριση SSTP και ένα CLI που δημιουργεί προφίλ καλά είναι μισός επεξεργαστής που λείπει, όχι χαλασμένο περιβάλλον εκτέλεσης.

Διαβάστε το πρώτο στάδιο που αποτυγχάνει πριν επανεγκαταστήσετε οτιδήποτε

Μια αποτυχημένη απόπειρα SSTP περνά από στάδια με σταθερή σειρά, και το στάδιο που απέτυχε σας λέει ποιο στοιχείο να κοιτάξετε.

Η εκκίνηση του πρόσθετου είναι το πρώτο, και μια αποτυχία εκεί παράγει μήνυμα για την υπηρεσία VPN και όχι για τον διακομιστή. Ακολουθεί σύνδεση TCP στη θύρα 443· μια άρνηση ή λήξη χρόνου εδώ είναι πρόβλημα προσβασιμότητας, όχι TLS. Έπειτα η χειραψία TLS και ο έλεγχος ταυτότητας διακομιστή, μετά η διαπραγμάτευση PPP και η πιστοποίηση λογαριασμού, και τέλος η εκχώρηση διεύθυνσης και οι διαδρομές. Παρακολουθήστε το journalctl -f -u NetworkManager ενώ ενεργοποιείτε το προφίλ μία φορά, και διαβάστε την πρώτη συγκεκριμένη γραμμή αντί για την τελευταία γενική.

Αυτή η σειρά εξηγεί μια κοινή παρανόηση. Ένα παράπονο πιστοποιητικού αναφέρεται πριν σταλούν διαπιστευτήρια, οπότε η αλλαγή κωδικού δεν μπορεί να βοηθήσει· μια απόρριψη πιστοποίησης PPP φτάνει μετά από επιτυχή χειραψία, οπότε ούτε η αντικατάσταση πιστοποιητικού βοηθά. Κρατήστε το πρώτο σφάλμα και το στάδιό του, και έχετε διάγνωση αντί για σύμπτωμα.

Η εμπιστοσύνη στο πιστοποιητικό και η σύνδεση λογαριασμού είναι ξεχωριστές πύλες

Η χειραψία επικυρώνει ότι ο διακομιστής είναι αυτός που θέλατε να προσεγγίσετε, με τον εκδότη και το όνομα που ρυθμίσατε. Μόνο μετά από αυτό το επίπεδο PPP προσφέρει το όνομα χρήστη και τον κωδικό σας στη μέθοδο πιστοποίησης της πύλης. Δύο ανεξάρτητοι έλεγχοι, λοιπόν, αξιολογούνται με σταθερή σειρά, με ξεχωριστές ρυθμίσεις για τον καθένα. Τίποτα από όσα πληκτρολογούνται στο πεδίο κωδικού δεν μπορεί να επηρεάσει τον πρώτο.

Ένα προφίλ που εμπιστεύεται λάθος εκδότη αποτυγχάνει στην πρώτη πύλη με σφάλμα ταυτότητας. Ένα προφίλ που τον εμπιστεύεται σωστά αλλά αποθηκεύει παλιό κωδικό αποτυγχάνει στη δεύτερη με απόρριψη πιστοποίησης. Και τα δύο μοιάζουν με VPN που δεν συνδέεται, και κανένα δεν διορθώνεται από το φάρμακο του άλλου.

Πάρτε τον αναμενόμενο εκδότη και το όνομα διακομιστή από όποιον διαχειρίζεται την πύλη αντί να μαντεύετε τις προεπιλογές του επεξεργαστή, και καταγράψτε τη μέθοδο πιστοποίησης που απαιτούν. Αν ο οργανισμός χρειάζεται μέθοδο που το πρόσθετο δεν μπορεί να εκφράσει, η έντιμη απάντηση είναι ένα εγκεκριμένο πρόγραμμα πελάτη που μπορεί, όχι ένα προφίλ με απενεργοποιημένη επικύρωση για να εξαφανιστεί το σφάλμα.

Αφήστε έναν ιδιοκτήτη να κρατά το προφίλ και τα μυστικά

Μόλις υπάρξει το προφίλ, ενεργοποιήστε το μέσω NetworkManager και αφήστε αυτόν τον διαχειριστή να κατέχει τις διαδρομές και τις αλλαγές διανομέα που προκύπτουν. Η εκκίνηση δεύτερου αυτόνομου πελάτη SSTP ενώ το NetworkManager ήδη διαχειρίζεται τη σύνδεση σας δίνει δύο σύνολα διαδρομών, δύο ρυθμίσεις DNS και μια συνεδρία αποσφαλμάτωσης χωρίς μία και μοναδική πηγή αλήθειας.

Και τα μυστικά έχουν ιδιοκτήτη. Μια σύνδεση που έχει σημειωθεί για χρήση σε όλο το σύστημα αποθηκεύει τα διαπιστευτήρια διαφορετικά από μια που περιορίζεται στη συνεδρία χρήστη σας, και ένα προφίλ που δημιουργήθηκε με το χέρι σε αρχείο κλειδιού μπορεί να μην είναι αναγνώσιμο από τον πράκτορα μυστικών που περιμένει να παράσχει τον κωδικό διαδραστικά. Ελέγξτε ποιο περιβάλλον περιμένει το προφίλ πριν πληκτρολογήσετε ξανά έναν κωδικό που ποτέ δεν ήταν το πρόβλημα. Η ενεργοποίηση του ίδιου προφίλ από τερματικό με nmcli είναι η ταχύτερη δοκιμή, γιατί μια προτροπή που δεν εμφανίζεται ποτέ σας λέει ότι ο πράκτορας δεν είχε ήδη τίποτα να προσφέρει.

Ελέγξτε τη σήραγγα, τις διαδρομές και τον διανομέα χωριστά

Μια ένδειξη «συνδεδεμένο» ισχυρίζεται μόνο ότι ανέβηκε ο σύνδεσμος. Ελέγξτε τον προορισμό που πραγματικά χρειάζεστε, τη διαδρομή που τον μεταφέρει και τον διανομέα που χρησιμοποιείται, ένα κάθε φορά· καθένα μπορεί να είναι λάθος ενώ τα άλλα δύο είναι εντάξει.

Για μια αποτυχημένη απόπειρα, καταγράψτε την έκδοση κάθε στοιχείου και το καθαρισμένο κείμενο σφάλματος. Μοιραστείτε αυτά, όχι το πλήρες προφίλ, γιατί το προφίλ μπορεί να περιέχει το προκοινοποιημένο μυστικό και τα αποθηκευμένα διαπιστευτήριά σας.

Τέλος, αποσυνδεθείτε και επανασυνδεθείτε, μετά επανεκκινήστε μία φορά. Αν το προφίλ λειτουργεί μόνο στην πρώτη απόπειρα, το πρόβλημα βρίσκεται στον χειρισμό μυστικών ή στην ιδιοκτησία διαδρομών, και και τα δύο είναι φθηνότερο να διορθωθούν τώρα παρά στη μέση μιας εργάσιμης ημέρας.