אילו פרוטוקולים צומת ה-VPN הציבורי הזה מציע באמת?

התוכנה תומכת בו, ולכן הצומת מציע אותו. המסקנה הזו שגויה לעתים קרובות מספיק כדי להיות כלל: פריסת SoftEther יכולה להפעיל כל תת-קבוצה של שיטות החיבור התואמות שלה, וצומת ציבורי הוא פריסה עם בעלים ותצורה. מה שאפשר להתחבר אליו תלוי בצומת הזה, לא ברשימת התכונות של הפרויקט שהוא מריץ. הפער בין השניים הוא המקום שבו באמת חיים רוב הכרטיסים מסוג «הפרוטוקול שבור».

מה רשימת הפרויקט באמת מבטיחה

פונקציות הפרוטוקול של הפרויקט מתארות למה השרת מסוגל. צומת נתון מפעיל חלק מהמאזינים האלה ולא אחרים, והמפעיל יכול לשנות את הקבוצה הזו בלי לגעת בגרסת התוכנה. לכן שני צמתים על אותה בנייה מתנהגים אחרת, ופרופיל שעובד מול אחד אינו מוכיח דבר על היעד הבא. הרשימה של הצומת עצמו גוברת על דף הפרויקט כשאתם בוחרים לאן להתחבר.

קראו את הרשימה כחמישה שדות, לא כתפריט: נקודת קצה, פורט, תעבורה, משפחת פרוטוקולים ושיטת אימות. צומת ציבורי שמפרסם SSTP סיפר לכם על מאזין בפורט; הוא לא סיפר לכם איזה תעודה הוא מציג או אם החשבון שלכם עובד שם. השוואת חמשת השדות האלה לפרופיל שלכם מהירה מכל כמות של התקנה מחדש של הלקוח, והיא מייצרת ציפייה כתובה שתוכלו לבחון מאוחר יותר.

התאימו את הפרופיל לנקודת הקצה שהוא נוקב בשמה

רשומת SoftEther מקורית אינה אוטומטית תצורת OpenVPN, גם כששתיהן מופיעות בעמוד ספק אחד תחת כותרת אחת. כש צומת מפרסם גם מאזין TCP וגם מאזין UDP עבור OpenVPN, התייחסו אליהם כאל שתי נקודות קצה: פרופיל שנערך מאחד לאחר מצביע על מאזין שאיש לא הפעיל. תווית התעבורה בקובץ היא חלק מהכתובת, לא הגדרה קוסמטית.

קבלת קובץ מיובא על ידי הלקוח מוכיחה שהקובץ מפוענח. היא לא אומרת דבר על כך אם מאזין מרוחק ממתין בצד השני, ולכן הניסיון הראשון להתחבר הוא המבחן האמיתי. השוו את שורת המרוחק בפרופיל למארח ולפורט המוצהרים של הצומת לפני שאתם מאשימים את הפרוטוקול.

בדקו את השלב שנכשל

מארח שעונה לתעבורת אינטרנט עדיין יכול להיות חסר את שירות ה-VPN המיועד, ומארח שדוחה פרוטוקול אחד אינו בהכרח מושבת לכולם. שתי הטעויות האלה שולחות אנשים לכיוונים מנוגדים באותו אחר הצהריים. האחד רודף אחרי חומת אש שתקינה; האחר מתקין מחדש לקוח שמעולם לא היה הבעיה. בדקו כל נתיב בנפרד כדי שהתשובה תתאר מאזין אחד ולא את כל המארח.

חמש הבדיקות האלה מכסות את השיטות הנפוצות של צמתים ציבוריים. הריצו אותן מאותה רשת שהלקוח משתמש בה, כי פורט מסונן נראה מרחוק בדיוק כמו מאזין חסר.

nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example

שייכו כל שגיאה שנצפתה לשורה שלה לפני שתשנו משהו. כשל זהות TLS מוכיח שהמאזין קיים, ולכן כתיבה מחדש של הפרופיל לפרוטוקול אחר תזרוק ראיה שעובדת. חיבור שנדחה מוכיח רק שהפורט הזה לא ענה, וזו אמירה צרה בהרבה מ«הצומת אינו תומך ב-OpenVPN».

שמרו את השגיאה לפני שתשנו משהו

רשמו את התוצאה המדויקת: תם זמן, כשל זהות של תעודה, דחיית חשבון ודחייה ברמת היישום הם ארבעה תוצאות שונות. רק הראשון עוסק בפרוטוקול שאינו זמין, ורק האחרון עוסק בהרשאה לאחר חיבור מוצלח. איפוס הלקוח או החלפת פרוטוקולים הורס את ההבחנה הזו, כי הכשל הבא מגיע עם היסטוריה אחרת ובלי קו בסיס להשוואה.

אל תחלישו את האימות כדי שפרופיל לא תואם ייראה כאילו הוא עובד. בדיקת תעודה מושבתת הופכת כשל זהות ברור לחיבור למשהו שלא התכוונתם להגיע אליו, וההצלחה הנובעת ממנה גרועה מהשגיאה המקורית כי היא מסתירה איזה שלב היה שגוי.

בדקו מחדש לכל צומת, בכל פעם

האפשרויות המקוריות SSL, OpenVPN, L2TP/IPsec ו-SSTP ברשימת צומת ציבורי מתארות את התצורה של אותו צומת באותו רגע. אותה תוכנה במקום אחר יכולה להציג קבוצה אחרת, וספק יכול להוציא מאזין מכלל שימוש בין סימניית הדפדפן שלכם לניסיון הבא שלכם. הערות ישנות מתארות פריסות ישנות.

רשמו את הפרופיל המאומת עם נקודת הקצה והשיטה שלו, ואז חזרו על הבדיקה כשהצומת משתנה או כשהחיבור מתחיל להיכשל. מפרט הפרוטוקול של SoftEther הוא המקור למה שהתוכנה יכולה לעשות; הרשימה של הצומת עצמו היא המקור למה שהיא עושה. החזיקו את שני המסמכים בנפרד והאבחון הופך לקצר יותר.