Milliseid protokolle see avalik VPN-sõlm tegelikult pakub?
See, et serveritarkvara toetab protokolli, ei tähenda, et see sõlm selle lubas. Kontrollige lõpp-punkti, profiili ja etappi, mis tegelikult ebaõnnestub.
Tarkvara toetab seda, seega sõlm pakub seda. See järeldus on piisavalt sageli vale, et olla reegel: SoftEtheri juurutus võib lubada mis tahes alamhulka oma ühilduvatest ühendusmeetoditest ja avalik sõlm on juurutus, millel on omanik ja konfiguratsioon. See, millega saate ühenduse luua, sõltub sellest sõlmest, mitte projekti funktsioonide loetelust, mida see käitab. Just kahe vahelises lõhes elab enamik piletitest „protokoll on katki“.
Mida projektide loetelu tegelikult lubab
Projekti protokollifunktsioonid kirjeldavad, milleks server võimeline on. Antud sõlm lubab mõnda neist kuulajat ja mitte teisi, ning operaator saab seda hulka muuta ilma tarkvara versiooni puutumata. Seetõttu käituvad kaks sama koostu sõlme erinevalt ja profiil, mis töötab ühe vastu, ei tõesta järgmise sihtmärgi kohta midagi. Sõlme enda loetelu kaalub projektileheküljest üles, kui valite, kuhu ühenduda.
Lugege loetelu viie väljana, mitte menüüna: lõpp-punkt, port, transport, protokollipere ja autentimismeetod. Avalik sõlm, mis reklaamib SSTP rääkis teile pordil olevast kuulajast; see ei öelnud, millist sertifikaati see esitab ega kas teie konto seal töötab. Nende viie välja võrdlemine teie profiiliga on kiirem kui ükskõik kui palju kliendi ümberpaigaldamist ja annab kirjaliku ootuse, mida saate hiljem testida.
Sovitage profiil selle nimetatud lõpp-punktiga
SoftEtheri natiivne kirje ei ole automaatselt OpenVPN-i konfiguratsioon, isegi kui mõlemad ilmuvad ühe teenusepakkuja lehel ühe pealkirja all. Kui sõlm avaldab OpenVPN-i jaoks nii TCP kui ka UDP kuulaja, käsitlege neid kahe lõpp-punktina: ühest teise muudetud profiil osutab kuulajale, mille keegi ei lubanud. Failis olev transpordisilt on aadressi osa, mitte kosmeetiline säte.
See, et klient võtab imporditud faili vastu, tõendab, et fail parsitakse. See ei ütle midagi selle kohta, kas teises otsas ootab kaugkuulaja, mistõttu on esimene ühenduskatse tõeline test. Võrrelge profiili remote-rida sõlme teatatud hosti ja pordiga enne, kui protokolli süüdistate.
Uurige etappi, mis ebaõnnestub
Veebiliiklusele vastav host võib siiski jääda ilma kavandatud VPN-teenusest, ja üht protokolli keelduv host ei ole tingimata kõigi jaoks maas. Need kaks viga saadavad inimesed samal pärastlõunal vastassuundadesse. Üks ajab taga tulemüüri, mis on korras; teine paigaldab uuesti klienti, mis ei olnud kunagi probleem. Uurige iga rada eraldi, et vastus kirjeldaks ühte kuulajat, mitte kogu hosti.
Need viis kontrolli katavad avalike sõlmede tavalised meetodid. Käivitage need samast võrgust, mida klient kasutab, sest filtreeritud port näeb kaugelt välja täpselt samasugune kui puuduv kuulaja.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Tulemus | Etapp | Mida see välistab |
|---|---|---|
| Ühendus keelduti või aegus | Transport | Kuulaja puudub, on filtreeritud või vale port |
| TLS-kätluse või identiteedi viga | Sertifikaat | Protokolli kättesaadavus; kuulaja vastas |
| AUTH_FAILED või konto tagasilükkamine | Autentimine | Lõpp-punkt; probleem on mandaatides |
| UDP 500 ja 4500 vaikivad | IPsec-i läbirääkimine | ESP ja L2TP on blokeeritud enne autentimist |
Siduge iga täheldatud viga oma reaga enne, kui midagi muudate. TLS-i identiteediviga tõestab, et kuulaja on olemas, seega profiili teisele protokollile ümberkirjutamine viskaks ära töötava tõendi. Keeldutud ühendus tõestab ainult, et see port ei vastanud, mis on palju kitsam väide kui „sõlm ei toeta OpenVPN-i“.
Säilitage viga enne, kui midagi muudate
Kirjutage üles täpne tulemus: aegumine, sertifikaadi identiteediviga, konto tagasilükkamine ja rakendustasandi keeldumine on neli erinevat tulemust. Ainult esimene on protokolli kättesaamatuse kohta ja ainult viimane on loa kohta pärast edukat ühendust. Kliendi lähtestamine või protokollide vahetamine hävitab selle eristuse, sest järgmine ebaõnnestumine saabub teise ajalooga ja ilma võrdlusaluseta.
Ärge nõrgestage kontrolli, et muuta ühildumatu profiil töötavana näivaks. Keelatud sertifikaadikontroll muudab selge identiteedivea ühenduseks millegagi, kuhu te ei kavatsenud jõuda, ja sellest tulenev edu on hullem kui algne viga, sest see varjab, milline etapp oli vale.
Kontrollige iga sõlme puhul uuesti, iga kord
Avaliku sõlme loetelu natiivsed valikud SSL, OpenVPN, L2TP/IPsec ja SSTP kirjeldavad selle sõlme konfiguratsiooni sel hetkel. Sama tarkvara mujal võib pakkuda teistsugust kogumit ja teenusepakkuja võib kuulaja teie järjehoidja ja järgmise katse vahel tagasi võtta. Vanad märkmed kirjeldavad vanu juurutusi.
Märkige kontrollitud profiil koos selle lõpp-punkti ja meetodiga üles, seejärel korrake uurimist, kui sõlm muutub või ühendus hakkab ebaõnnestuma. SoftEtheri protokolli spetsifikatsioon on viide selle kohta, mida tarkvara suudab; sõlme enda loetelu on viide selle kohta, mida see teeb. Hoidke kaks dokumenti lahus ja diagnoos muutub lühemaks.