Kuidas kontrollida, kas VPN-klient tegelikult toetab SSTP-d

Toote nimetamine VPN-kliendiks ei ütle midagi selle kohta, kas see räägib SSTP-d, ja port 443 aadressis tõestab veel vähem. SSTP töötab TLS-iga üle TCP 443, seejärel SSTP juhtimisvahetus, seejärel PPP lingi enda jaoks, ning peal sertifikaadi valideerimine ja PPP autentimismeetod. Klient toetab protokolli ainult siis, kui nimetatud teostus paigaldatud versioonis läbib kõik need kihid vastavalt teie serveri nõuetele. Tehke allolevad kontrollid järjekorras ja peatuge esimesel ebaõnnestunud kontrollil, sest just seda tasub lahendada.

Viige teostus, versioon ja platvorm kokku

Alustage platvormist, rakendusest ja paigaldatud versioonist, sest üks tootjanimi võib olla kahe täiesti erineva teostuse kohal. Sisseehitatud VPN-tüübid ja kolmandate osapoolte kliendid ei ole sama asi ning plugin võib näidata adapteri silti, mis ei kirjelda selle all olevat protokolli. Praeguse väljaande dokumentatsioon ei kirjelda versiooni, mis töötab teie ees oleval masinal. Lugege konkreetse versiooni lehte ja võrrelge seda sellega, mida klient enda kohta teatab.

Windowsis tuleb tunnelitüüp platvormilt, mitte graafilisest liidesest, seega küsige platvormilt. Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress näitab Sstp, kui natiivne klient protokolli proovib, ja ühendusetüüpide viide loetleb selle sisseehitatud tunnelitüüpide hulgas. Linuxis ei ole natiivset SSTP-klienti üldse, seega küsimus on, kas eraldi teostus, näiteks sstpc paketist sstp-client, on paigaldatud ja ajakohane.

Lugege profiili vormingut enne silti

Profiilid ei ole vahetatavad ja teile antud fail lahendab küsimuse tavaliselt kiiremini kui ükskõik milline funktsioonide loend. OpenVPN-i direktiivid, WireGuard-paari võtmed ja SSTP ühenduse seaded kirjeldavad kolme omavahel seotud protokolli ja ükski impordidialoog ei muuda üht teiseks. Ühise TCP pordi 443 jagamine ei tõlgi midagi, sest SSTP, OpenVPN üle TLS-i ja tavaline HTTPS-teenus võivad hõivata sama pordi ega oma selle kohal midagi ühist.

Kui fail on .ovpn või WireGuard-konfiguratsioon, on vastus juba teada: sellelt kliendilt ei nõuta SSTP rääkimist. Selle importimine ainult SSTP-d toetavasse klienti ebaõnnestub profiilietapis, kaua enne mis tahes protokolliläbirääkimiste algust.

Mida TLS paigalduse kohta ei tõesta

Lõpule viidud TLS-i kätlus tõestab, et serveril on sertifikaat, ja ei tõesta midagi selle kohta, kas teie klient usaldab väljastusahelat või sobib selle sees olev nimi. Valideerimine peab õnnestuma kavandatud serveri vastu, sealhulgas organisatsiooni hallatava privaatse CA vastu, ja klient, mis pakub sertifikaadivigade vahelejätmist, on kontrolli eemaldanud, mitte protokolli tuge juurde saanud. Ahela valideerimine ja nime sobivus on kaks eraldi testi ning ühe läbinud virn võib teises ebaõnnestuda. Mõlemad kuuluvad vastuvõtukriteeriumidesse, mitte tõrkeotsingu lisasse.

Seejärel kinnitage PPP autentimismeetod, sest EAP-TLS-iga paigaldus vajab klienti, mis suudab PPP sees sertifikaati esitada, samas kui paroolipõhine meetod vajab selle vahetuse tuge. Serveri aadress ja parool ei kirjelda organisatsiooni tegelikku nõuet, eriti kui selle ees on teine tegur või seadmekontroll. Küsige, millist meetodit server nõuab, enne kui eeldate, et klient suudab selle täita.

Jälgige seanssi neljas etapis

Vaadake, kuidas ühendus ületab neli piiri: TCP ja TLS serverini, SSTP juhtimisvahetus, PPP läbirääkimised ja seejärel ressurss, mida tegelikult vajate. Logi, mis peatub pärast TLS-i, kirjeldab teistsugust riket kui see, mis peatub PPP sees, ja need kaks viivad eri vastutajateni. See, et brauser laadib hosti veebilehe, tõestab ainult, et miski vastas pordil 443, mis on selles valdkonnas kõige tavalisem valepositiivne tulemus. Kui see leht laadib, kuid klient ikka ebaõnnestub, on probleem TLS-i kohal ja veebiserver ei ole kahtlusalune.

Lõpetage tõelise privaatse ressursi ja nimepäringuga, sest seanss, mis luuakse ja ei kanna midagi, näeb enamikus olekuakendes välja nagu töötav. Üks edukas päring vajaliku ressursi vastu lahendab küsimuse, mida ikoon ei suuda.

Kui tugi puudub, muutke plaani

Kui klient ei saa SSTP-d rääkida, hankige kinnitatud alternatiiv või paluge serveri omanikul protokoll, mida mõlemad pooled toetavad. Tundmatute valikute kustutamine, kuni import õnnestub, annab profiili, mis ei ühenda mitte millegagi, mis on aeglasem tee sama ummikuni. Tundmatust allikast pärit paigaldaja, mis reklaamib universaalset ühilduvust, lisab masinale kinnitamata usaldustee ja asendab sageli platvormi kliendi millegagi, mida organisatsioon ei saa uuendada. Kumbki käik ei ole parandus ja mõlemat on raskem tagasi pöörata kui algset probleemi.

Käsitlege ühilduvusküsimust eraldi jõudlusest ja lõpp-punkti valikust, sest lähedal asuv server on kasutu, kui klient ei saa selle protokolli rääkida. Latentsuse häälestamine ei paranda etappi, mis kunagi ei lõpe.