SSTP istek vremena ili greška certifikata: kako ih razlikovati

Veza SSTP pada na dva načina koji s korisnikove stolice izgledaju isto, a popravak za svaki leži na drugom sloju. Istek vremena znači da potrebna razmjena nikada nije dovršena; greška certifikata znači da je identitetski materijal stigao i odbijen. Ako drugo tretirate kao prvo, idete prema vatrozidima i zaporkama koji nikada nisu bili problem. Razlikovni dokaz je u klijentovu vlastitom zapisu, ako ga pročitate prije nego što bilo što promijenite.

Dva neuspjeha, dvije različite razmjene

SSTP nosi tunel unutar sesije oblika HTTPS, zato preživljava mreže koje ne dopuštaju ništa osim 443. Klijent dovrši TLS rukovanje, pošalje HTTP zahtjev s metodom specifičnom za protokol, a zatim tunel teče unutar tog toka. Neuspjeh na bilo kojem od tih koraka zaustavlja vezu, a samo kasniji uključuju vjerodajnice.

Taj je redoslijed dijagnostika. Ako se TLS rukovanje nikad ne dovrši, nikakve vjerodajnice nisu poslane, pa reset zaporke ne može pomoći. Ako se rukovanje dovrši i zatim zapne, identitet je prihvaćen i nešto na putu zahtjeva ga je odbilo. Ako rukovanje padne s porukom provjere, poslužitelj je odgovorio i klijentu se nije svidjelo ono što je čuo. Tri ishoda, tri sloja.

Zapis obično kaže u kojem ste od tri slučaja, zato ga vrijedi zabilježiti prije prve promjene.

Istek vremena znači da faza nikada nije dovršena

Počnite s razrješavanjem imena i TCP dostupnošću, jer istek vremena ondje izgleda identično kao kasniji istek. Provjera porta koja javi da je 443 otvoren dokazuje da je slušatelj prihvatio vezu i ništa više.

Sljedeći osumnjičenik je put, a ne host. Proxyji i vatrozidi svjesni aplikacija katkad odbiju metodu zahtjeva koju SSTP rabi ili ispuste tok koji ostaje otvoren satima, a oba ponašanja izgledaju kao istek vremena s klijentove strane. Obična HTTPS stranica koju poslužuje isti host učitava se besprijekorno dok je metoda tunela odbijena, zato pretraživanje krajnje točke dokazuje tako malo. Testirajte s mreže bez proxyja da razdvojite ta dva slučaja.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Istek vremena prije bilo kakva odgovora druge strane ne govori ništa o računu, a promjena zaporke u tom trenutku samo dodaje varijablu.

Greška certifikata znači da je identitet odbijen

Ovdje je poslužitelj zaista odgovorio, pa mreža radi i pitanje se seli na identitet. Usporedite ime s kojim se klijent javlja s imenima koja certifikat stvarno tvrdi, zatim provjerite datume valjanosti i lanac izdavatelja.

Privatni CA kojem klijent ne vjeruje proizvodi istu klasu greške kao istekao certifikat, a tako i sat koji kasni satima. Biranje sirove adrese stvara novu nepodudarnost, jer certifikat tvrdi imena, a ne adrese. U upravljanom postavljanju zatražite predviđenu konfiguraciju povjerenja od njezina administratora umjesto da prihvatite zamjenski korijen koji nudi stranica greške. Validacija ostaje uključena dok popravljate uzrok.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Držite uspješnu TLS fazu netaknutom kad prođe, jer njezino kasnije poništavanje skriva koja je promjena stvarno popravila tunel.

Gdje se to dvoje pobrka

Oba neuspjeha izgledaju kao veza koja se ne diže, a oba dolaze nakon što je korisnik promijenio nešto nepovezano. Ta slučajnost čini pogrešan popravak uvjerljivim neko vrijeme.

Dvije navike drže ih odvojenima. Zabilježite klijentov zapis prije nego što dotaknete konfiguraciju, da prvo stanje ostane sačuvano. Mijenjajte jedan sloj po pokušaju, da sljedeći rezultat pripada poznatoj varijabli. Provjera porta i preglednik djelomična su opažanja, a ne cijeli slijed, i nijedno ne zamjenjuje klijentovo vlastito izvješće. Nijedna navika ništa ne stoji, a obje skraćuju istragu.

Pitanje certifikata i pitanje dostupnosti dokumentirani su odvojeno s razlogom.

Ponovno testirajte pravim klijentom, zatim idite prema unutra

Kad je konkretan ispravak na mjestu, pokušajte ponovno sa stvarnim SSTP klijentom i pravim profilom, a ne s karticom preglednika.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Ako se sesija poveže, a resursi i dalje ne rade, tunel više nije osumnjičenik: prijeđite na usmjeravanje, DNS i pristup uslugama. To je druga istraga s drugim dokazima. Očuvanje radnih TLS i autentifikacijskih faza sprječava da to postane ponavljanje prve. Zapišite u tiket fazu koja je pala, jer će sljedeća osoba inače opet početi od vrha.