Port 443 odgovara, SSTP još uvijek ne radi: koja se faza slomila?

Završetak TCP rukovanja na portu 443 dok se tunel nikada ne uspostavlja dokazuje jednu stvar, i to malu stvar. Nešto sluša i spremno je prihvatiti vezu na toj adresi. To ne identificira uslugu, certifikat koji će predstaviti, ni šta se događa nakon prvih bajtova.

Između tog rukovanja i tunela koji radi stoje četiri faze, a svaka proizvodi drugu grešku.

Otvoren port opisuje samo jedan sloj

Prihvatiti TCP vezu znači da proces posjeduje utičnicu i da put dozvoljava rukovanje. To ništa ne govori o tome je li taj proces SSTP server, ima li certifikat valjan za ime u vašem profilu, ili će odobriti vaš račun. Web server na istoj adresi savršeno odgovara na rukovanje, a zatim na vaš SSTP zahtjev odgovara HTTP greškom. Sve iznad tog rukovanja ostaje neprovjereno.

Tretirajte test porta kao najjeftiniji mogući filter, a ne kao presudu. Njegova vrijednost je u tome što uklanja cijelu kategoriju kvarova, a ne u tome što potvrđuje sve iznad sebe.

Miješanje to dvoje razlog je zašto ljudi reinstaliraju klijente nakon testa koji nikada nije ispitao stvarni problem klijenta.

Razdvojite četiri faze dokazima

Faze su dostupnost transporta, TLS validacija, SSTP razmjena preko HTTPS-a i PPP autentifikacija unutar tunela. Put koji prođe prvu i padne na četvrtoj treba popravku akreditiva; onaj koji padne na drugoj treba popravku certifikata ili imena. Te popravke nemaju ništa zajedničko, a odabir pogrešne troši prekid.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Treću naredbu vrijedi pažljivo pročitati. 200 od obične web stranice kaže vam da web usluga postoji; ne kaže vam da će SSTP zahtjev biti shvaćen. 404 s iste adrese jednako je neinformativan o VPN-u. Samo klijentski dnevnik kaže kojoj je od četiri faze stigao.

Obratite pažnju koje je ime svaka naredba koristila. Certifikat se bira prema imenu koje šaljete, pa je nesklad između profila i testa nesklad koji ste vi unijeli. Zapisivanje tog imena uz rezultat sprječava kasniju zabunu.

Čitajte djelimični uspjeh u pravom smjeru

Posrednik može dopustiti obično pregledanje i odbiti kasniju razmjenu, zbog čega proxy koji radi za web stranice još uvijek može zakazati za tunel. Isti obrazac pojavljuje se kada je certifikat valjan za ime preglednika ali ne za ime konfigurirano u profilu: preglednik je zadovoljan, a klijent nije, i oba su u pravu o tome što su provjerili.

Držite validaciju servera uključenom dok ovo dijagnosticirate. Isključivanje pretvara nesklad certifikata u uspješno rukovanje i skriva jedini dokaz koji bi objasnio kvar.

Ako isti profil radi s druge mreže, razlika zavisi od puta. To sužava potragu na posrednike ne govoreći koji je, i dalje je koristan korak naprijed. Zabilježite mrežu koju ste koristili, jer je poređenje bez nje bezvrijedno.

Zatim testirajte aplikaciju, ne samo sesiju

Kada sesija postoji, provjerite predviđenu rutu, razrješavanje imena i dozvolu usluge s klijenta kojem su potrebne. Povezani tunel još uvijek može imati nedostajuće prosljeđivanje na udaljenoj strani ili povratnu rutu koja nikada nije postojala, a ti kvarovi izgledaju upravo kao problem aplikacije osobi koja čeka.

Držite svaki zaključak vezan za fazu koja ga je proizvela. Nazvati otvoren port ispravnim VPN-om način je na koji petominutna provjera certifikata postaje dan reinstalacije softvera.