Mitä protokollia tämä julkinen VPN-solmu oikeastaan tarjoaa?
Se, että palvelinohjelmisto tukee protokollaa, ei tarkoita, että tämä solmu olisi ottanut sen käyttöön. Tarkista päätepiste, profiili ja vaihe, joka todella epäonnistuu.
Ohjelmisto tukee sitä, siis solmu tarjoaa sen. Tämä päätelmä on virheellinen tarpeeksi usein ollakseen sääntö: SoftEther-käyttöönotto voi ottaa käyttöön minkä tahansa osajoukon yhteensopivista yhteysmenetelmistään, ja julkinen solmu on käyttöönotto, jolla on omistaja ja kokoonpano. Se, mihin voit yhdistää, riippuu tästä solmusta, ei sen projektin ominaisuusluettelosta, jota se ajaa. Juuri näiden kahden välisessä kuilussa useimmat „protokolla on rikki“ -tiketit todella elävät.
Mitä projektin luettelo todella lupaa
Projektin protokollatoiminnot kuvaavat, mihin palvelin kykenee. Tietty solmu ottaa käyttöön osan näistä kuuntelijoista eikä toisia, ja operaattori voi muuttaa tätä joukkoa koskematta ohjelmistoversioon. Siksi kaksi saman koontiversion solmua käyttäytyvät eri tavoin, eikä profiili, joka toimii yhtä vastaan, todista mitään seuraavasta kohteesta. Solmun oma luettelo painaa enemmän kuin projektisivu, kun valitset, mihin yhdistät.
Lue luettelo viitenä kenttänä, älä valikkona: päätepiste, portti, kuljetus, protokollaperhe ja todennusmenetelmä. Julkinen solmu, joka mainostaa SSTP on kertonut sinulle portin kuuntelijasta; se ei ole kertonut, minkä varmenteen se esittää tai toimiiko tilisi siellä. Näiden viiden kentän vertaaminen profiiliisi on nopeampaa kuin mikään määrä asiakkaan uudelleenasennusta, ja se tuottaa kirjallisen odotuksen, jonka voit testata myöhemmin.
Sovita profiili sen nimeämään päätepisteeseen
Natiivi SoftEther -merkintä ei ole automaattisesti OpenVPN-kokoonpano, vaikka molemmat esiintyisivät yhden tarjoajan sivulla yhden otsikon alla. Kun solmu julkaisee OpenVPN:lle sekä TCP- että UDP-kuuntelijan, käsittele niitä kahtena päätepisteenä: toisesta toiseen muokattu profiili osoittaa kuuntelijaan, jota kukaan ei ottanut käyttöön. Tiedoston kuljetusmerkintä on osa osoitetta, ei kosmeettinen asetus.
Se, että asiakas hyväksyy tuodun tiedoston, todistaa, että tiedosto jäsennetään. Se ei kerro mitään siitä, odottaako toisessa päässä etäkuuntelija, minkä vuoksi ensimmäinen yhteysyritys on todellinen testi. Vertaa profiilin remote-riviä solmun ilmoittamaan isäntään ja porttiin ennen kuin syytät protokollaa.
Tutki vaihe, joka epäonnistuu
Verkkoliikenteeseen vastaava isäntä voi silti puuttua aiottu VPN-palvelu, eikä yhtä protokollaa torjuva isäntä ole välttämättä alas kaikkien osalta. Nämä kaksi virhettä lähettävät ihmiset vastakkaisiin suuntiin samana iltapäivänä. Toinen jahtaa palomuuria, joka on kunnossa; toinen asentaa uudelleen asiakasta, joka ei koskaan ollut ongelma. Tutki jokainen polku erikseen, jotta vastaus kuvaa yhtä kuuntelijaa eikä koko isäntää.
Nämä viisi tarkistusta kattavat julkisten solmujen tavalliset menetelmät. Suorita ne samasta verkosta, jota asiakas käyttää, sillä suodatettu portti näyttää kaukaa täsmälleen samalta kuin puuttuva kuuntelija.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Tulos | Vaihe | Mitä se sulkee pois |
|---|---|---|
| Yhteys evätty tai aikakatkaisu | Kuljetus | Kuuntelija puuttuu, suodatettu tai väärä portti |
| TLS-kättelyn tai identiteetin virhe | Varmenne | Protokollan saatavuus; kuuntelija vastasi |
| AUTH_FAILED tai tilin hylkäys | Todennus | Päätepiste; ongelma on tunnuksissa |
| UDP 500 ja 4500 vaikenevat | IPsec-neuvottelu | ESP ja L2TP on estetty ennen todennusta |
Yhdistä jokainen havaittu virhe omaan riviinsä ennen kuin muutat mitään. TLS-identiteettivirhe todistaa, että kuuntelija on olemassa, joten profiilin kirjoittaminen toiselle protokollalle hylkäisi toimivan todisteen. Evätty yhteys todistaa vain, että tämä portti ei vastannut, mikä on paljon kapeampi väite kuin „solmu ei tue OpenVPN:ää“.
Säilytä virhe ennen kuin muutat mitään
Kirjaa tarkka tulos: aikakatkaisu, varmenteen identiteettivirhe, tilin hylkäys ja sovellustason hylkäys ovat neljä eri lopputulosta. Vain ensimmäinen koskee protokollan puuttumista ja vain viimeinen koskee lupaa onnistuneen yhteyden jälkeen. Asiakkaan nollaus tai protokollan vaihto tuhoaa tämän eron, koska seuraava epäonnistuminen saapuu eri historian kanssa ja ilman vertailuperustaa.
Älä heikennä varmennusta, jotta yhteensopimaton profiili näyttäisi toimivan. Pois kytketty varmenteen tarkistus muuttaa selvän identiteettivirheen yhteydeksi johonkin, johon et aikonut päästä, ja tuloksena oleva onnistuminen on pahempi kuin alkuperäinen virhe, koska se kätkee, mikä vaihe oli väärin.
Tarkista uudelleen solmukohtaisesti, joka kerta
Julkisen solmun luettelon natiivit vaihtoehdot SSL, OpenVPN, L2TP/IPsec ja SSTP kuvaavat kyseisen solmun kokoonpanoa sillä hetkellä. Sama ohjelmisto muualla voi tarjota eri joukon, ja tarjoaja voi poistaa kuuntelijan kirjanmerkkisi ja seuraavan yrityksesi välillä. Vanhat muistiinpanot kuvaavat vanhoja käyttöönottoja.
Kirjaa vahvistettu profiili päätepisteineen ja menetelmineen ja toista sitten tutkinta, kun solmu muuttuu tai yhteys alkaa epäonnistua. SoftEther-protokollan määrittely on viite siihen, mihin ohjelmisto kykenee; solmun oma luettelo on viite siihen, mitä se tekee. Pidä kaksi asiakirjaa erillään, niin diagnoosista tulee lyhyempi.