SSTP autendib kõigepealt serveri ja alles seejärel kasutaja

SSTP klient võib TLS-i lõpule viia ja kasutaja siiski sekund hiljem tagasi lükata. See järjestus ei ole viga, vaid protokollipinu: kõigepealt transpordi turvalisus, seejärel kasutaja autentimine. Kuna kaks etappi ebaõnnestuvad erinevate teadetega, vajavad need ka erinevaid parandusi. See, milline etapp vea tekitas, on suurem osa diagnoosist.

Usaldusväärne sertifikaat tõestab lõpp-punkti; konto kohta ei ütle see midagi.

Mida TLS-i kätlus kinnitab

Klient valideerib serveri esitatud sertifikaadi oma usaldushoidla, soovitud hostinime, kehtivusakna ja platvormi kohaldatava lisapoliitika vastu. See kaitseb ühendust kavandatud lõpp-punktiga. See ei tõesta, et konkreetne konto on lubatud, aegumata või volitatud kaugjuurdepääsuks. Need on eraldi küsimused, mille esitab hiljem teine komponent.

Seetõttu on sertifikaadikontrollide eemaldamine sisselogimisküsimuseni jõudmiseks vale parandus. Saate sisselogimisküsimuse ühendusel, mida te ei saa kontrollida. Sertifikaadiviga kuulub hostinime, kella, ahela või usalduskokkuseadistuse juurde.

Mida SSTP ja PPP selle peale lisavad

SSTP töötab HTTPS-i kohal ja kannab sees PPP-d, millel on ühenduse ümber oma juhtimisvahetus. Seejärel käivitab PPP oma lingi- ja autentimisfaasid ning autentimismeetod sõltub serveri poliitikast ja kliendi võimekusest. PAP, CHAP, MS-CHAPv2 ja EAP on kõik PPP autentimisvalikud väga erinevate omadustega. VPN-i kasutajakontroll on see PPP faas, mitte selle all olev TLS kiht.

Kasutaja tagasilükkamine võib seega tähendada mandaate, konto piirangut või meetodi mittevastavust.

Serveripoolne põhjus on palju kasulikum kui profiilis iga saladuse lähtestamine. Konto keelamise sündmus ja meetodi läbirääkimise ebaõnnestumine näevad kliendis sarnased välja ning serveris pole neil midagi ühist.

Sobitage viga etapiga

Kontrollige, kas ühendus jõuab TLS-i, seejärel SSTP HTTP vahetuseni, seejärel PPP faasini. Hoidke logide ajatemplid korduskatsete vahel joondatud, et varasemat ebaõnnestumist ei aetaks segi hilisema õnnestumisega. Klient, mis logib ühes aknas kaks katset, näeb muidu välja, nagu oleks ta ebaõnnestunud viimases jõutud etapis. Lugege esimest asjakohast viga, mitte viimast rida.

Sama joondamine loeb serveripool, kus autentimiskirje ja transpordilogi on sageli eraldi failid eraldi kelladega. Kahe minuti suurune nihe on piisav, et ilmne põhjus tunduks võimatu.

Pärast sisselogimist on autoriseerimine endiselt eraldi

Edukas sisselogimine ei anna kõiki privaatseid ressursse. Marsruudid määravad, mis on kättesaadav, DNS määrab, mis lahendatakse, ja iga teenus rakendab endiselt oma õigusi. Ühendatud olekut näitav sessioon on väide tunneli, mitte failijagamise kohta. Kui kasutaja saab ühenduda ega pääse ühele hostile, on tunneli faas juba lõppenud.

See on sama kihistus, mida kätlus näitas, üks tase kõrgemal.

Hoidke konto taastamine operaatori toetatud protsessi sees, selle asemel et muuta transpordiseadeid vastuseks selgele kasutaja keeldumisele. Transpordi muutmine keelatud konto parandamiseks on selline parandus, mis näib toimivat, kui konto lubatakse uuesti mitteseotud põhjusel.