Teorainn ama SSTP nó earráid teastais: conas iad a aithint ó chéile

Teipeann nasc SSTP ar dhá bhealach a mbíonn cuma na chéile orthu ó chathaoir an úsáideora, agus tá deisiúchán gach ceann acu ar chiseal difriúil. Ciallaíonn teorainn ama nár críochadh malartú riachtanach riamh; ciallaíonn earráid teastais gur shroich ábhar féiniúlachta agus gur diúltaíodh dó. Má chaitheann tú an dara ceann mar an chéad cheann, seolfar chuig ballaí dóiteáin agus pasfhocail nach raibh riamh mar fhadhb thú. Tá an fhianaise idirdhealaitheach i logáil an chliaint féin, má léann tú í sula n-athraíonn tú rud ar bith.

Dhá theip, dhá mhalartú dhifriúla

Iompraíonn SSTP tollán taobh istigh de sheisiún i bhfoirm HTTPS, agus mar sin maireann sé i líonraí nach gceadaíonn aon rud ach 443. Críochnaíonn an cliant crúb láimhe TLS, seolann sé iarratas HTTP le modh a bhaineann go sonrach leis an bprótacal, agus ansin ritheann an tollán taobh istigh den sruth sin. Stopann teip ag aon cheann de na céimeanna sin an nasc, agus ní bhaineann ach na cinn níos déanaí le dintiúirí.

Is é an t-ord sin an diagnóis. Mura gcríochnaítear an chrúb láimhe TLS riamh, níor seoladh aon dintiúir, mar sin ní féidir le hathshocrú pasfhocail cabhrú. Má chríochnaítear an chrúb láimhe agus má stopann sí ansin, glacadh leis an bhféiniúlacht agus dhiúltaigh rud éigin i gcosán an iarratais di. Má theipeann ar an chrúb láimhe le teachtaireacht bhailíochtaithe, d'fhreagair an freastalaí agus níor thaitin a chuala leis an gcliant. Trí thoradh, trí chiseal.

De ghnáth luann an líne loga cén ceann de na trí atá i gceist, mar sin is fiú í a ghabháil sula ndéantar an chéad athrú.

Ciallaíonn teorainn ama nár críochadh céim riamh

Tosaigh le réiteach ainmneacha agus inrochtaineacht TCP, mar tá cuma dhíreach an chéile ar theorainn ama ansin agus ar theorainn ama níos déanaí. Ní chruthaíonn seiceálaí poirt a thuairiscíonn 443 oscailte ach gur ghlac éisteoir le nasc, agus aon rud eile.

Is é an chéad amhras eile an cosán seachas an t-óstach. Diúltaíonn seachfhreastalaí agus ballaí dóiteáin atá feasach ar fheidhmchláir uaireanta don mhodh iarratais a úsáideann SSTP, nó scaoileann siad sruth a fhanann oscailte ar feadh uaireanta, agus tá cuma theorainn ama ar an dá iompar ón taobh clinete. Luchtaítear leathanach HTTPS ginearálta a sheirbheálann an t-óstach céanna go foirfe agus an modh tolláin á dhiúltú, mar sin is beag an rud a chruthaíonn brabhsáil chuig an deireadhphointe. Tástáil ó líonra gan an seachfhreastalaí chun an dá chás sin a dheighilt.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Ní deir teorainn ama roimh aon fhreagra ón bpiaraí aon rud faoin gcuntas, agus ní chuireann athrú pasfhocail ag an bpointe sin ach athróg amháin leis.

Ciallaíonn earráid teastais gur diúltaíodh don fhéiniúlacht

Anseo d'fhreagair an freastalaí i ndáiríre, mar sin oibríonn an líonra agus aistríonn an cheist chuig féiniúlacht. Déan comparáid idir an t-ainm a dhiaileann an cliant agus na hainmneacha a dhearbhaíonn an teastas i ndáiríre, ansin seiceáil na dátaí bailíochta agus an slabhra eisiúna.

Cruthaíonn CA príobháideach nach bhfuil muinín ag an gcliant as an aicme chéanna earráide agus a chruthaíonn teastas atá as feidhm, agus amhlaidh do chlog atá uaireanta mícheart. Cruthaíonn diailiú an seoladh amh mí-chomhoiriúnacht nua, mar dearbhaíonn teastas ainmneacha seachas seoltaí. I nimeachtú faoi bhainistíocht, faigh an chumraíocht mhuiníne atá beartaithe óna riarthóir in ionad fréamh ionaid a thairgeann leathanach earráide a ghlacadh. Fanann bailíochtú ar siúl agus tú ag socrú na cúise.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Coinnigh an chéim TLS rathúil slán nuair a éiríonn léi, mar má aisghairtear níos déanaí í ceileann sin cén t-athrú a dheisigh an tollán i ndáiríre.

Cá gcuirtear an dá rud trí chéile

Tagann an dá theip chun solais mar nasc nach n-ardaíonn, agus tagann an dá cheann tar éis don úsáideoir rud éigin neamhghaolmhar a athrú. Is é an chomhtharlú sin a fhágann go bhfuil cuma inchreidte ar an deisiúchán mícheart ar feadh tamaill.

Coinníonn dhá nós iad ó chéile. Gabh logáil an chliaint sula dtéann tú i dteagmháil leis an chumraíocht, ionas go gcaomhnaítear an chéad staid. Athraigh ciseal amháin in aghaidh na hiarrachta, ionas gur le hathróg aitheanta an toradh seo chugainn. Is breathnóireachtaí páirteacha iad seiceálaí poirt agus brabhsálaí seachas an tseicheamh iomlán, agus ní thagann ceachtar acu in ionad thuairisc an chliaint féin. Ní chosnaíonn ceachtar nós faic, agus giorraíonn an dá rud an t-imscrúdú.

Tá ceist an teastais agus ceist na hinrochtaineachta doiciméadaithe ar leithligh ar chúis.

Tástáil arís leis an bhfíorchliant, ansin bog isteach

Nuair a bheidh an ceartú sonrach ina áit, triail arís leis an bhfíorchliant SSTP agus an fíorphróifíl, ní le cluaisín brabhsálaí.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Má nascann an seisiún agus má theipeann ar acmhainní fós, ní hé an tollán an t-amhras a thuilleadh: bog go ródú, DNS agus rochtain seirbhíse. Is imscrúdú eile é sin le fianaise eile. Coinníonn séala na gcéimeanna TLS agus fíordheimhnithe a oibríonn nach n-éireoidh sé ina athrá ar an gcéad cheann. Scríobh sa ticéad an chéim a theip, nó beidh an chéad duine eile ag tosú ón mbarr arís.