Cén fáth nach é mainneachtain seachfhreastalaí é 403 ó shuíomh VPN

Dícheanglaíonn úsáideoirí an VPN, buaileann siad le 403 ar shuíomh inmheánach, agus tuairiscíonn siad go bhfuil an seachfhreastalaí briste. Is féidir le trí rud ar leith an leathanach sin a chruthú: dhiúltaigh an bunús don iarratas, dhiúltaigh an seachfhreastalaí tosaigh an tollán a oscailt, nó d'éiligh an seachfhreastalaí a chuid dintiúirí féin. Is freagra ceart ar cheist dhifriúil gach ceann acu, agus má dhéantar iad a leathadh amach in aon leathanach mainneachtana ghinearálta, scriostar an t-aon fhianaise atá agat. Sórtáil an diúltú de réir na comhpháirte a rinne é, ansin déan comparáid idir an cosán líonra a úsáideann gach comhpháirt i ndáiríre.

Ainmnigh an chomhpháirt a chruthaigh an 403

Baineann cód stádais HTTP leis an bpáirtí a sheol é. Nuair a fhillfidh an bunús 403, tá an t-iarratas parsáilte aige agus tá sé socraithe aige go mb'fhéidir nach bhfuil an acmhainn ag an nglaoiteoir, arb freagra údaraithe é seachas fadhb iompair. Nuair a fhreagraíonn seachfhreastalaí tosaigh 403 do CONNECT, dhiúltaigh sé an tollán a thógáil ar chor ar bith, agus níor déanadh teagmháil le haon rud in uachtar riamh. Nuair a fhreagraíonn sé 407, tá a dhintiúirí féin uaidh, agus níl baint ar bith acu le logáil isteach an fheidhmchláir.

Sainmhíníonn RFC 9110 na róil seo, lena n-áirítear an dúshlán atá sainiúil don seachfhreastalaí. Léigh stádas an fhreagra féin agus aon cheanntásc Proxy-Authenticate sula léann tú an corp, mar is gnách go gcoinníonn leathanach earráide HTML cairdiúil i bhfolach cé a scríobh é.

An rud a cheiltíonn tollán CONNECT ó athsheoltóir beart

Nuair a fhilleann seachfhreastalaí 200 ar CONNECT, bíonn sé ag athsheoladh beart agus coinníonn an brabhsálaí a sheisiún TLS féin leis an mbunús. Mar sin ní féidir le seachfhreastalaí a athsheolann beart an 403 criptithe laistigh den seisiún sin a léamh, agus ní bhíonn sé riamh ina údar ar an diúltú. Is eachtra iomlán difriúil é diúltú sula n-osclaítear an tollán, a tháirgtear sraith amháin níos ísle.

Tá seachfhreastalaí droim ar ais a chríochnaíonn TLS in áit eile: is leis an teorainn TLS, parsálann sé HTTP, agus is féidir leis freagraí a athscríobh nó a idircheapadh go dlisteanach. Rogha cumraíochta is ea an cumas sin, ní tréith na seachfhreastalaíochta i gcoitinne, agus ní thugann sé údarú chun beartas rochtana an fheidhmchláir a sheachaint. Is cumas é an freagra a léamh; is obair an bhunúis fós a shocrú cad a fheicfidh an glaoiteoir.

Is é an toradh praiticiúil ná go gcaithfidh tú a bheith ar an eolas faoi cé acu de na trí chruth atá á rith agat sula léirmhíníonn tú 403. Ní thugann rialacha iniúchóireachta HTTP a chur le seachfhreastalaí srutha infheictheacht dó, agus cuirfidh sé ag súil le hathsheoltóir beart chun diúltú bunúis a mhíniú tú ag cuardach sa logáil mhícheart.

Déan comparáid idir cosán amach an seachfhreastalaí agus seoladh tolláin an bhrabhsálaí

Ní aistríonn brabhsálaí atá ceangailte le VPN freastalaí seachfhreastalaí ar leith chuig an tollán sin go huathoibríoch. Feiceann an bunús seoladh amach an seachfhreastalaí, agus má fhágann an seachfhreastalaí fós tríd an mbealach réamhshocraithe áitiúil, feiceann an suíomh cosanta seoladh nach raibh sé riamh cumraithe chun muinín a bheith aige as. Tá seoladh VPN inmheánach an ríomhaire glúine dofheicthe don bhunús sin. Is é seo an chúis is coitianta a bhíonn le tollán atá ag obair fós ag tabhairt 403 ó shuíomh a iompraíonn go ceart do gach duine eile.

Tástáil an dá chosán ar leith ionas nach féidir na seoltaí a mheascadh.

curl -sS -o /dev/null -w 'status=%{http_code}\n' --noproxy '*' https://198.51.100.20/private
curl -sS -o /dev/null -w 'status=%{http_code}\n' -x http://203.0.113.10:3128 https://198.51.100.20/private

Taispeánann an chéad iarratas cad a fhreagraíonn an bunús do do sheoladh féin, taispeánann an dara ceann cad a fhreagraíonn sé do sheoladh an tseachfhreastalaí. Cuireann péire 403 atá ag teacht le chéile in iúl rialacha údaraithe an bhunúis; cuireann 200 a leanann 403 in iúl cosán an tseachfhreastalaí. Fiafraigh d'úinéir an bhunúis cé na seoltaí foinse a ghlacann an tsraith rialacha i ndáiríre seachas a bheith ag glacadh leis go bhfuil an linn VPN san áireamh.

Tástáil gach teorainn le hiarratas a leithliseoidh í

Leithlísigh an tsraith seachfhreastalaí trí rud éigin a iarraidh air nach féidir leis a dhiúltú ar chúiseanna feidhmchláir. Insíonn CONNECT chuig óstach a bhfuil cead ag an seachfhreastalaí rochtain a fháil air, agus an t-aschur caite, duit an n-oibríonn ligean isteach tolláin ar chor ar bith.

curl -sSv -o /dev/null -x http://203.0.113.10:3128 https://198.51.100.20/ 2>&1 | grep -E 'CONNECT|HTTP/1.1|Proxy-Authenticate'

Má phriontálann sé sin 200 don CONNECT agus ansin crannchur láimhe TLS, tá ligean isteach an tseachfhreastalaí ceart agus tháinig an 403 níos déanaí ón mbunús. Má phriontálann sé 407, soláthair dintiúirí seachfhreastalaí le --proxy-user agus déan arís sula dtagann tú ar aon chonclúid faoin suíomh. Má phriontálann sé 403 ar an líne CONNECT, is é liosta ceadaithe an tseachfhreastalaí féin an teorainn atá le scrúdú, agus níl baint ag an bhfeidhmchlár leis.

Coinnigh dintiúirí as stair an bhlaosc agus as tras-scríbhinní greamaithe. Tá pasfhocal seachfhreastalaí a chlóscríobhtar ar líne ordaithe le feiceáil ag úsáideoirí áitiúla eile, agus is measa riamh rian CONNECT a gabhadh le dintiúirí ná gan aon rian.

Coinnigh an breithiúnas inléite seachas an leathanach a athscríobh

Nuair a bheidh a fhios agat cé a dhiúltaigh, caomhnaigh an freagra sin. Coinníonn seachfhreastalaí droim ar ais a athainmníonn 403 bunúis mar amú 504, nó a chuireann leathanach ratha ina áit, cinneadh údaraithe i bhfolach taobh thiar de scéal infhaighteachta agus seolann sé an chéad fhreagróir eile chuig an bhfoireann mhícheart. Tá leathanaigh earráide saincheaptha ceart go leor nuair a choinníonn siad an stádas agus nuair a chuireann siad comhthéacs leis.

Tá an taisceáil tuillte ag an cúram céanna. Rialaíonn RFC 9111 conas is féidir le taisce roinnte freagraí a athúsáid, agus ní cheart diúltú a táirgeadh d'aon ghlacóir amháin a thabhairt do dhuine eile mar a bheadh cead ann. Má stóráiltear freagraí diúltaithe ar chor ar bith, coinnigh príobháideach agus scóipeáilte iad, agus ná cuir riail úire phoiblí leis riamh díreach chun trácht in uachtar a laghdú.

Críochnaigh le breithiúnas scríofa a ainmníonn an chomhpháirt, an stádas a tháirg sí, agus an seoladh foinse a chonaic an bunús. Taifead an t-iarratas cruinn, na socruithe seachfhreastalaí atá i bhfeidhm, agus an t-am, ionas gur féidir an chéad tuarascáil eile a mheaitseáil leis an bhfianaise chéanna seachas a bheith á díorthú arís ón gcuimhne. Freagraíonn an taifead sin an chéad tuarascáil eile i soicindí agus stopann sé an 403 céanna a bheith diagnóisithe arís mar shlí amach VPN.