Miksi VPN-sovittimen nimi voi kätkeä toisen protokollan
Sovittimen vieressä oleva merkintä kuvaa ohjelmiston, joka sen loi, ei verkossa kulkevia paketteja. Tarkista asiakasohjelma, profiili ja vastapuoli ennen ratkaisun valintaa.
VPN-sovittimen vieressä oleva merkintä kuvaa ohjelmiston, joka loi liitännän, ja se on yhden kerroksen verran ylempänä kuin paketit, jotka todella kulkevat verkon läpi. Laajennus voi näyttää sovittimen, jonka nimi heijastaa laajennuksen omaa luokittelua eikä verkossa tapahtuvaa kapselointia. Asiakasohjelman, profiilin ja vastapuolen lukeminen vastaa siihen, mihin nimi ei pysty vastaamaan. Kaksi yhteyttä, jotka näyttävät asetusvalikossa samoilta, voivat käyttäytyä tallenteessa täysin eri tavoin.
Nimi tulee palveluntarjoajalta, ei verkosta
Windows määrittelee lyhyen luettelon yhteystyypeistä sisäänrakennetuille VPN-asiakasohjelmilleen, ja kolmannen osapuolen tuotteet asentavat oman pinonsa niiden viereen. Verkkoluettelossa näkyvän sovittimen luo ajuri, joka omistaa yhteyden, joten sen nimi on todiste ajurista, ei tae ulommasta protokollasta. Siksi yhden asiakasohjelman poistaminen voi jättää sovittimen nimen jälkeensä.
Microsoftin VPN-yhteystyyppejä koskeva dokumentaatio toteaa selvästi, että tyyppi kuvaa asiakasohjelman kokoonpanon kyseistä yhteyttä varten. Kun laajennus on mukana, näytetty tyyppi seuraa sitä, mitä laajennus rekisteröi, ja todellinen kapselointi voi olla jotain aivan muuta.
Sama kerrostus näkyy muuallakin. Linux-isännän virtuaalinen sovitin, TAP-laite tai mobiilin VPN-palvelun laajennus ovat kaikki ohjelmiston luomia liitäntöjä, ja liitännän nimen valitsee tämä ohjelmisto sen sijaan, että siitä neuvoteltaisiin palvelimen kanssa.
Mitä portit ja osoitteet voivat kertoa ja mitä eivät
Jokainen kerros jättää erilaisia todisteita. Lue ne erikseen, niin merkintä lakkaa olemasta tuomio:
| Evidence | What it establishes | Where it misleads |
|---|---|---|
| Adapter name | Which driver bound the interface | Plugins choose their own labels |
| Profile file | Which client consumes the configuration | Abstraction layers hide the transport |
| Outer port | Which port the peer accepts | 443 carries several protocols plus HTTPS |
| Tunnel address | The inner interface's network | Says nothing about encapsulation |
TCP 443 on selkein esimerkki. Se voi kuljettaa SSTP-tunnelia, OpenVPN TCP -tunnelia, SoftEther SSL-VPN -istuntoa tai tavallista verkkoliikennettä, eikä pelkkä portin numero pysty erottamaan niitä. Siksi palomuurisääntö, joka sallii 443:n, ei ole todiste siitä, mitä asiakasohjelmaa käytetään. Tallenne ulommalla liitännällä ratkaisee asian, ja ratkaisee sen sekunneissa.
Lue profiilin muoto ja vastapuoli
Kokoonpanotiedosto on vahvempi vihje kuin sovitin. OpenVPN-profiili sisältää direktiivejä kuten remote, proto ja ca; WireGuard-kokoonpano sisältää [Interface]-osion, jossa on yksityinen avain, ja [Peer]-osiot, joissa on sallitut IP-osoitteet; Windowsin puhelinluettelomerkintä tallentaa yhteystyypin omassa muodossaan. Jokainen syntaksi kuuluu yhdelle toteutukselle.
Katso sitten vastapuolen dokumentaatiota ja lokeja. Palvelin tietää, mikä protokollankäsittelijä hyväksyi istunnon, ja sen loki nimeää valmistuneen vaiheen. Tämä todiste päihittää minkä tahansa työpöytämerkinnän, koska se kirjataan sinne, missä paketit todella tulkittiin.
Valitse ohje protokollan, älä merkinnän mukaan
OpenVPN-direktiivi kuuluu OpenVPN:lle, WireGuardin avaimet ja sallitut IP-osoitteet kuuluvat WireGuardille, eikä SSTP-profiili ole kumpaakaan. Yhden asiakasohjelman asetuksen liittäminen toiseen siksi, että sovittimen nimi kuulosti yhteensopivalta, on tapa rikkoa toimiva kokoonpano.
Kun protokolla on tunnistettu, valitse vastaava vianmäärityspolku: asiakasohjelman oma loki, palvelimen protokollakohtainen loki ja tallenne, joka näyttää ulomman vaihdon. Siitä eteenpäin vian nimi on nimi eikä merkintä.