Port 443 vastab, SSTP ikka ei tööta: milline etapp purunes?

TCP-kätlemise lõpuleviimine pordile 443, samal ajal kui tunnel kunagi ei ehitu, tõestab üht asja, ja see on väike asi. Midagi kuulab ja on valmis sellel aadressil ühendust vastu võtma. See ei tuvasta teenust, esitatavat sertifikaati ega seda, mis juhtub pärast esimesi baite.

Selle kätlemise ja töötava tunneli vahel on neli etappi ning igaüks tekitab erineva vea.

Avatud port kirjeldab ainult ühte kihti

TCP-ühenduse vastuvõtmine tähendab, et protsess omab soklit ja tee lubab kätlemist. See ei ütle midagi selle kohta, kas see protsess on SSTP server, kas tal on teie profiilis oleva nime jaoks kehtiv sertifikaat või kas ta volitab teie kontot. Sama aadressi veebiserver vastab kätlemisele laitmatult ja vastab seejärel teie SSTP-päringule HTTP-veaga. Kõik sellest kätlemisest kõrgemal jääb testimata.

Käsitlege porditesti kui odavaimat võimalikku filtrit, mitte kui otsust. Selle väärtus on selles, et see kõrvaldab terve tõrgete kategooria, mitte selles, et see kinnitab kõike sellest kõrgemal.

Nende kahe segamine on põhjus, miks inimesed pärast testi, mis ei uurinud kunagi kliendi tegelikku probleemi, kliente uuesti paigaldavad.

Eraldage neli etappi tõenditega

Etapid on transpordi kättesaadavus, TLS-i valideerimine, SSTP-vahetus üle HTTPS-i ja PPP-autentimine tunneli sees. Tee, mis läbib esimese ja ebaõnnestub neljandas, vajab mandaatide parandust; see, mis ebaõnnestub teises, vajab sertifikaadi või nime parandust. Need parandused ei ole omavahel seotud ja vale valimine raiskab katkestuse.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Kolmandat käsku tasub hoolikalt lugeda. Tavalise veebilehe 200 ütleb teile, et veebiteenus on olemas; see ei ütle, et SSTP-päringust aru saadakse. Sama aadressi 404 on VPN-i kohta sama väheinformatiivne. Ainult kliendi logi ütleb, millisele neljast etapist see jõudis.

Pange tähele, millist nime iga käsk kasutas. Sertifikaat valitakse teie saadetud nime järgi, seega profiili ja testi lahknevus on lahknevus, mille te ise tekitasite. Selle nime tulemuse kõrvale kirjutamine hoiab hilisema segaduse ära.

Lugege osalist õnnestumist õiges suunas

Vahendaja võib lubada tavalist veebisirvimist ja keelduda hilisemast vahetusest, mistõttu veebilehtede jaoks töötav puhverserver võib tunneli jaoks siiski ebaõnnestuda. Sama muster ilmneb siis, kui sertifikaat kehtib brauseri nime jaoks, kuid mitte profiilis seadistatud nime jaoks: brauser on rahul ja klient ei ole, ning mõlemal on õigus selles osas, mida nad kontrollisid.

Hoidke serveri valideerimine diagnoosimise ajal sisse lülitatud. Selle väljalülitamine muudab sertifikaadi lahknevuse õnnestunud kätlemiseks ja peidab ainsa tõendi, mis oleks tõrget selgitanud.

Kui sama profiil töötab teisest võrgust, sõltub erinevus teekonnast. See kitsendab otsingu vahendajatele ütlemata, millisele, ja on ikka kasulik samm edasi. Kirjutage üles kasutatud võrk, sest võrdlus on ilma selleta väärtusetu.

Seejärel testige rakendust, mitte ainult sessiooni

Kui sessioon on olemas, kontrollige kavandatud marsruuti, nimelahendust ja teenuse luba kliendist, kes neid vajab. Ühendatud tunnelil võib kaugemal pool siiski puududa edasisaatmine või olla tagasitee, mida kunagi ei olnud, ja need tõrked näevad ootavale inimesele täpselt rakenduse probleemi moodi välja.

Hoidke iga järeldus seotud etapiga, mis selle tekitas. Avatud pordi nimetamine töötavaks VPN-iks on viis, kuidas viie minuti sertifikaadikontrollist saab päev tarkvara uuesti paigaldamist.