SSTP-timeout of sertifikaatflater: hoe't jo se útinoar hâlde

In SSTP-ferbining mislearret op twa manieren dy't fan ’e stoel fan ’e brûker itselde lykje, en de reparaasje foar elk sit op in oar laach. In timeout betsjut dat in ferplichte útwiksel nea klear kaam; in sertifikaatflater betsjut dat identiteitsmateriaal oankaam en wegere waard. As jo de twadde as de earste behannelje, stjoert dat jo nei firewalls en wachtwurden dy't nea it probleem wiene. It ûnderskiedende bewiis stiet yn ’e eigen log fan ’e klient, as jo dy lêze foardat jo wat feroarje.

Twa mislearrings, twa ferskillende útwiksels

SSTP draacht in tunnel binnen in sesje yn HTTPS-foarm, dêrom oerlibbet it netwurken dy't neat oars as 443 tastean. De klient foltôget in TLS-hânskod, stjoert in HTTP-fersyk mei in protokolspezifike metoade, en dan rint de tunnel binnen dy stream. In mislearring by ien fan dy stappen stopet de ferbining, en allinnich de lettere belûke ynloggegevens.

Dy folchoarder is de diagnoaze. As it TLS-hânskod nea foltôge wurdt, is gjin inkelde ynloggegevens stjoerd, dus in wachtwurdweromset kin net helpe. As it hânskod foltôget en dan fêstlûkt, is identiteit akseptearre en hat wat yn it paad fan it fersyk it wegere. As it hânskod mislearret mei in falidaasjeboadskip, hat de tsjinner antwurde en de klient mocht net lije wat er hearde. Trije útkomsten, trije lagen.

De logrigel neamt meastentiids yn hokker fan ’e trije jo sitte, dêrom is it de muoite wurdich om dy foar de earste feroaring fêst te lizzen.

In timeout betsjut dat in stadium nea klear kaam

Begjin mei namme-oplossing en TCP-berikberens, want in timeout dêr liket identyk op in timeout letter. In poartekontrôle dy't 443 iepen meldt, bewiist dat in harker in ferbining akseptearre hat, en neat mear.

De folgjende fertochte is it paad, net de host. Proxys en firewalls dy't applikaasjes begripe, wegerje soms de fersykmetoade dy't SSTP brûkt, of litte in stream falle dy't oeren iepen bliuwt, en beide gedragingen lykje fan ’e klientkant op in timeout. In gewoane HTTPS-side fan deselde host lûkt perfekt, wylst de tunnelmetoade wegere wurdt, dêrom bewiist browsen nei it einpunt sa min. Test fan in netwurk sûnder de proxy om dy twa gefallen te skieden.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

In timeout foar hokker antwurd fan ’e oare kant dan ek seit neat oer it akkount, en it wachtwurd op dat stuit feroarje foeget allinnich in fariabele ta.

In sertifikaatflater betsjut dat identiteit wegere waard

Hjir hat de tsjinner wol antwurde, dus it netwurk wurket en de fraach ferplakket nei identiteit. Ferlykje de namme dêr't de klient mei skiltt mei de nammen dy't it sertifikaat echt beweart, en kontrolearje dan de jildichheidsdatums en de útjaanrige.

In privee CA dêr't de klient net op fertrout, produsearret deselde klasse flater as in ferfallen sertifikaat, en dat docht in klok dy't oeren mis is ek. It rauwe adres skilje makket in nije mismatch, want in sertifikaat beweart nammen en net adressen. By in beheard útrôljen helje jo de bedoelde fertrouwenskonfiguraasje by de behearder, ynstee fan in ferfangende woartel te akseptearjen dy't in flaterside oanbiedt. Falidaasje bliuwt oan wylst jo de oarsaak reparearje.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Hâld it suksesfolle TLS-stadium yntakt as it ienris slagge is, want it letter weromdraaien ferberget hokker feroaring de tunnel echt reparearre.

Dêr't de twa trochinoar helle wurde

Beide mislearrings komme nei foaren as in ferbining dy't net omheech komt, en beide komme nei't de brûker wat net-relatearre feroare hat. Krekt dy tafal makket de ferkearde reparaasje in skoft leaudweardich.

Twa gewoanten hâlde se útinoar. Fêstlizje it klientlog foardat jo de konfiguraasje oanreitsje, sadat de earste tastân bewarre bliuwt. Feroarje ien laach per poging, sadat it folgjende resultaat by in bekende fariabele heart. In poartekontrôle en in browser binne dielwaarnimmings ynstee fan ’e folsleine folchoarder, en net ien ferfangt it eigen ferslach fan ’e klient. Net ien fan ’e gewoanten kostet wat, en beide ferkoartsje it ûndersyk.

De sertifikaatfraach en de berikberensfraach binne apart dokumintearre om in reden.

Test opnij mei de echte klient, gean dan nei binnen

As de konkrete korreksje sit, besykje it opnij mei de echte SSTP-klient en it echte profyl, net mei in browser-tab.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

As de sesje ferbynt en boarnen mislearje noch, is de tunnel net mear de fertochte: gean nei routing, DNS en tsjinsttagong. Dat is in oar ûndersyk mei oar bewiis. It behâlden fan ’e wurkjende TLS- en autentikaasjestadia foarkomt dat it in werhelling fan ’e earste wurdt. Skriuw it stadium dat mislearre yn ’e ticket, want oars begjint de folgjende persoan wer boppe-oan.