SSTP ferifiearret earst de tsjinner en dêrnei de brûker

In SSTP-klient kin TLS foltôgje en de brûker in sekonde letter dochs ôfwize. Dy folchoarder is gjin bug, it is de protokolstapel: earst transportfeiligens, dêrnei brûkersferifikaasje. Om't de twa fazen mislearje mei ferskillende berjochten, hawwe se ek ferskillende reparearjes nedich. Lêze hokker faze de flater produsearre hat, is it grutste part fan 'e diagnoaze.

In fertroud sertifikaat bewiist it einpunt; oer it akkount seit it neat.

Wat de TLS-hânskodding fêststelt

De klient falidearret it sertifikaat dat de tsjinner presintearret tsjin syn fertrouwensopslach, de oanfrege hostnamme, it jildichheidsfinster en hokker ekstra belied it platfoarm ek tapast. Dat beskermet de ferbining nei it bedoelde einpunt. It bewiist net dat in bepaald akkount ynskeakele, net ferrûn of tastean is foar remote tagong. Dat binne aparte fragen dy't letter troch in oare komponint steld wurde.

Dêrom is it ferkearde reparearje om sertifikaatkontrôles fuort te heljen om by de oanmeldingsprompt te kommen. Jo krije in oanmeldingsprompt op in ferbining dy't jo net ferifiearje kinne. In sertifikaatflater heart by de hostnamme, de klok, de keten of de fertrouwenskonfiguraasje.

Wat SSTP en PPP derop tafoegje

SSTP rint oer HTTPS en draacht PPP deryn, mei syn eigen kontrôle-útwikseling om 'e ferbining hinne. PPP fiert dan syn link- en ferifikaasjefazen út, en de ferifikaasjemetoade hinget ôf fan it tsjinnerbelied en de mooglikheden fan 'e klient. PAP, CHAP, MS-CHAPv2 en EAP binne allegear PPP-ferifikaasje-opsjes mei hiel ferskillende eigenskippen. De brûkerskontrôle fan 'e VPN is dy PPP-faze, net de TLS-laach derûnder.

In brûkersôfwizing kin dus betsjutte: bewizen, in akkountbeheining of in metoademismatch.

De reden oan 'e tsjinnerkant is folle nuttiger as it weromsetten fan elk geheim yn it profyl. In barren fan in útskeakele akkount en in mislearre metoade-ûnderhanneling lykje op 'e klient en hawwe oan 'e tsjinnerkant neat mienskiplik.

Keppelje de flater oan de faze

Kontrolearje oft de ferbining TLS berikt, dan de SSTP HTTP-útwikseling, dan de PPP-faze. Hâld de logtiidstimpels oer besykjen hinne yn line, sadat in eardere mislearring net mei in lettere sukses ferwiksele wurdt. In klient dy't twa besykjen yn ien finster logt, sil oars lykje as oft it yn 'e lêste faze dy't it berikt hat mislearre is. Lês de earste relevante flater, net de lêste rigel.

Deselde útlining is wichtich oan 'e tsjinnerkant, dêr't it ferifikaasjerekord en it transportlog faak aparte bestannen mei aparte klokken binne. Twa minuten skeefrin is genôch om in dúdlike oarsaak ûnmooglik lykje te litten.

Nei oanmelding is autorisaasje noch altyd apart

In suksesfolle oanmelding jout net elke privee boarne. Rûtes bepale wat berikber is, DNS bepaalt wat oplost, en elke tsjinst past noch altyd syn eigen rjochten ta. In sesje dy't as ferbûn toant is in útspraak oer de tunnel, net oer it bestanddiele. Wannear't in brûker ferbine kin en ien host net berikke kin, is de tunnelfaze al klear.

Dat is deselde laachstruktuer dy't de hânskodding sjen liet, ien nivo heger.

Hâld akkountherstel by it stipe proses fan 'e operator ynstee fan transportynstellingen te feroarjen as antwurd op in eksplisite brûkerswegering. It transport feroarje om in útskeakele akkount te reparearjen is it soarte reparearje dat liket te wurkjen wannear't it akkount om in net-relatearre reden wer ynskeakele wurdt.