יציאה 443 עונה, SSTP עדיין נכשל: איזה שלב נשבר?

השלמת לחיצת יד TCP לפורט 443 בזמן שהמנהרה לעולם אינה נבנית מוכיחה דבר אחד, והוא דבר קטן. משהו מקשיב ומוכן לקבל חיבור בכתובת הזו. הוא אינו מזהה את השירות, את התעודה שתוצג או את מה שקורה אחרי הבתים הראשונים.

ארבעה שלבים נמצאים בין לחיצת היד הזו למנהרה עובדת, וכל אחד מפיק שגיאה אחרת.

פורט פתוח מתאר שכבה אחת בלבד

קבלת חיבור TCP פירושה שתהליך מחזיק בסוקט ושהנתיב מתיר את לחיצת היד. היא אינה אומרת דבר על האם התהליך הזה הוא שרת SSTP, האם יש לו תעודה תקפה עבור השם בפרופיל שלכם, או האם הוא יאשר את החשבון שלכם. שרת אינטרנט באותה כתובת עונה ללחיצת היד בצורה מושלמת ואז עונה לבקשת ה-SSTP שלכם בשגיאת HTTP. כל מה שמעל לחיצת היד הזו נשאר ללא בדיקה.

התייחסו לבדיקת הפורט כמסנן הזול ביותר האפשרי ולא כפסק דין. ערכו בכך שהוא מסיר קטגוריה שלמה של כשלים, לא בכך שהוא מאשר את כל מה שמעליו.

ערבוב בין השניים הוא הסיבה שאנשים מתקינים מחדש לקוחות אחרי בדיקה שמעולם לא בחנה את הבעיה האמיתית של הלקוח.

הפרידו את ארבעת השלבים באמצעות ראיות

השלבים הם נגישות התעבורה, אימות TLS, חילופי SSTP מעל HTTPS, ואימות PPP בתוך המנהרה. נתיב שעובר את הראשון ונכשל ברביעי זקוק לתיקון פרטי התחברות; נתיב שנכשל בשני זקוק לתיקון תעודה או שם. לתיקונים האלה אין דבר במשותף, ובחירה בשגוי מבזבזת את ההשבתה.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

הפקודה השלישית שווה קריאה זהירה. 200 מדף אינטרנט רגיל אומר לכם שיש שירות אינטרנט; הוא אינו אומר שבקשת SSTP תובן. 404 מאותה כתובת אינו אינפורמטיבי באותה מידה לגבי ה-VPN. רק יומן הלקוח אומר לכם לאיזה מארבעת השלבים הוא הגיע.

שימו לב איזה שם השתמשה כל פקודה. התעודה נבחרת לפי השם שאתם שולחים, ולכן אי-התאמה בין הפרופיל לבדיקה היא אי-התאמה שאתם הכנסתם. כתיבת השם הזה לצד התוצאה מונעת את הבלבול בהמשך.

קראו הצלחה חלקית בכיוון הנכון

מתווך יכול להתיר גלישה רגילה ולסרב לחילוף המאוחר, ולכן פרוקסי שעובד לאתרים עדיין יכול להיכשל עבור מנהרה. אותו דפוס מופיע כשתעודה תקפה לשם של דפדפן אך לא לשם שהוגדר בפרופיל: הדפדפן מרוצה והלקוח לא, ושניהם צודקים לגבי מה שבדקו.

השאירו את אימות השרת מופעל בזמן שאתם מאבחנים זאת. כיבויו הופך אי-התאמת תעודה ללחיצת יד מוצלחת ומסתיר את הראיה היחידה שהיתה מסבירה את הכשל.

אם אותו פרופיל עובד מרשת אחרת, ההבדל תלוי בנתיב. זה מצמצם את החיפוש למתווכים בלי לומר איזה, וזה עדיין צעד מועיל קדימה. תעדו את הרשת שהשתמשתם בה, כי ההשוואה חסרת ערך בלעדיה.

אחר כך בדקו את היישום, לא רק את הסשן

לאחר שקיים סשן, ודאו את המסלול המיועד, פתרון השמות והרשאת השירות מהלקוח שזקוק להם. מנהרה מחוברת יכולה עדיין להיות חסרה בהעברה בצד המרוחק או במסלול חזור שמעולם לא היה קיים, והכשלים האלה נראים בדיוק כמו בעיית יישום לאדם שממתין.

השאירו כל מסקנה קשורה לשלב שהפיק אותה. קריאה לפורט פתוח VPN עובד היא הדרך שבה בדיקת תעודה של חמש דקות הופכת ליום של התקנת תוכנה מחדש.