SSTP מאמת קודם את השרת ורק אחר כך את המשתמש

לקוח SSTP יכול להשלים TLS ובכל זאת לדחות את המשתמש שנייה לאחר מכן. הרצף הזה אינו באג, זו מחסנית הפרוטוקולים: קודם אבטחת התעבורה, אחר כך אימות המשתמש. מכיוון ששני השלבים נכשלים בהודעות שונות, גם התיקונים שלהם שונים. קריאת השלב שייצר את השגיאה היא רוב האבחון.

תעודה מהימנה מוכיחה את נקודת הקצה; על החשבון היא לא אומרת דבר.

מה לחיצת היד של TLS קובעת

הלקוח מאמת את התעודה שהשרת מציג מול מאגר האמון שלו, שם המארח המבוקש, חלון התוקף וכל מדיניות נוספת שהפלטפורמה מיישמת. זה מגן על החיבור לנקודת הקצה המיועדת. זה לא מוכיח שחשבון מסוים מופעל, לא פג או מורשה לשימוש בגישה מרחוק. אלה שאלות נפרדות שנשאלות מאוחר יותר על ידי רכיב אחר.

לכן הסרת בדיקות התעודה כדי להגיע להנחיית הכניסה היא התיקון השגוי. אתם מקבלים הנחיית כניסה על חיבור שאינכם יכולים לאמת. שגיאת תעודה שייכת לשם המארח, לשעון, לשרשרת או לתצורת האמון.

מה SSTP ו-PPP מוסיפים מעל

SSTP פועל מעל HTTPS ונושא PPP בתוכו, עם חילופי בקרה משלו סביב החיבור. לאחר מכן PPP מריץ את שלבי הקישור והאימות שלו, ושיטת האימות תלויה במדיניות השרת וביכולות הלקוח. PAP, CHAP, MS-CHAPv2 ו-EAP כולם אפשרויות אימות PPP עם תכונות שונות מאוד. בדיקת המשתמש של ה-VPN היא שלב ה-PPP הזה, לא שכבת ה-TLS שמתחתיו.

לכן דחיית משתמש יכולה להיות אישורים, הגבלת חשבון או אי-התאמה בשיטה.

הסיבה בצד השרת שימושית בהרבה מאשר איפוס כל סוד בפרופיל. אירוע של חשבון מושבת וכשל במשא ומתן על שיטה נראים דומה אצל הלקוח ואין להם דבר משותף בשרת.

התאימו את השגיאה לשלב

בדקו אם החיבור מגיע ל-TLS, אחר כך לחילופי ה-HTTP של SSTP, אחר כך לשלב ה-PPP. שמרו על יישור חותמות הזמן ביומנים בין הניסיונות כדי שכשל קודם לא ייבלבל עם הצלחה מאוחרת. לקוח שרושם שני ניסיונות בחלון אחד ייראה אחרת כאילו נכשל בשלב האחרון שאליו הגיע. קראו את השגיאה הרלוונטית הראשונה, לא את השורה האחרונה.

אותו יישור חשוב בצד השרת, שבו רשומת האימות ויומן התעבורה הם לעתים קרובות קבצים נפרדים עם שעונים נפרדים. שתי דקות של סטייה מספיקות כדי להפוך סיבה ברורה לבלתי אפשרית.

לאחר הכניסה, ההרשאה עדיין נפרדת

כניסה מוצלחת אינה מעניקה כל משאב פרטי. מסלולים קובעים מה ניתן להגיע אליו, DNS קובע מה נפתר, וכל שירות עדיין מיישם את ההרשאות שלו. הפעלה שמציגה מחובר היא הצהרה על המנהרה, לא על שיתוף הקבצים. כשמשתמש יכול להתחבר ואינו יכול להגיע למארח אחד, שלב המנהרה כבר הסתיים.

זו אותה שכבות שלחיצת היד הראתה, רמה אחת למעלה.

השאירו את שחזור החשבון בתהליך הנתמך של המפעיל במקום לשנות הגדרות תעבורה בתגובה לדחיית משתמש מפורשת. שינוי התעבורה כדי לתקן חשבון מושבת הוא סוג התיקון שנראה כאילו הוא עובד כשהחשבון מופעל מחדש מסיבה לא קשורה.