Milyen protokollokat kínál valójában ez a nyilvános VPN-csomópont?
Az, hogy a kiszolgáló szoftvere támogat egy protokollt, nem jelenti azt, hogy ez a csomópont engedélyezte. Ellenőrizze a végpontot, a profilt és azt a szakaszt, amely valójában meghiúsul.
A szoftver támogatja, tehát a csomópont kínálja. Ez a következtetés elég gyakran hibás ahhoz, hogy szabály legyen: egy SoftEther-telepítés a kompatibilis kapcsolódási módszereinek bármely részhalmazát engedélyezheti, a nyilvános csomópont pedig olyan telepítés, amelynek van tulajdonosa és konfigurációja. Az, hogy mihez tud csatlakozni, ettől a csomóponttól függ, nem az általa futtatott projekt funkciólistájától. A kettő közötti résben él valójában a legtöbb „a protokoll elromlott” jegy.
Mit ígér valójában a projekt listája
A projekt protokollfunkciói leírják, mire képes a kiszolgáló. Egy adott csomópont ezek közül néhány figyelőt engedélyez, másokat nem, és az üzemeltető ezt a halmazt a szoftververzió érintése nélkül megváltoztathatja. Ezért két csomópont ugyanazon a builden eltérően viselkedik, és egy profil, amely az egyikkel működik, semmit sem bizonyít a következő célról. A csomópont saját listája erősebb a projekoldalnál, amikor kiválasztja, hova csatlakozzon.
Olvassa a listát öt mezőként, nem menüként: végpont, port, szállítás, protokollcsalád és hitelesítési módszer. Egy nyilvános csomópont, amely SSTP hirdet, elmondta, hogy van egy figyelő egy porton; nem mondta meg, milyen tanúsítványt mutat be, vagy hogy a fiókja működik-e ott. Ezt az öt mezőt a profiljával összevetni gyorsabb, mint a kliens bármennyi újratelepítése, és olyan írásos elvárást ad, amelyet később tesztelhet.
Illessze a profilt a megnevezett végponthoz
A natív SoftEther-bejegyzés nem automatikusan OpenVPN-konfiguráció, még akkor sem, ha mindkettő egy szolgáltatói oldalon, egy címsor alatt jelenik meg. Ha egy csomópont az OpenVPN-hez TCP- és UDP-figyelőt is közzétesz, tekintse őket két végpontnak: az egyikről a másikra szerkesztett profil olyan figyelőre mutat, amelyet senki sem engedélyezett. A fájlban lévő szállítási címke a cím része, nem kozmetikai beállítás.
Az, hogy a kliens elfogad egy importált fájlt, azt bizonyítja, hogy a fájl feldolgozható. Semmit sem mond arról, hogy a másik oldalon vár-e egy távoli figyelő, ezért az első kapcsolódási kísérlet az igazi teszt. Hasonlítsa össze a profil távoli sorát a csomópont hirdetett hosztjával és portjával, mielőtt a protokollt hibáztatja.
Vizsgálja meg a meghiúsuló szakaszt
Egy webes forgalomra válaszoló hoszt még nélkülözheti a szánt VPN-szolgáltatást, és egy protokollt elutasító hoszt nem feltétlenül áll le mindegyik esetében. Ez a két hiba ugyanazon a délutánon ellentétes irányba küldi az embereket. Az egyik egy rendben lévő tűzfal után kutat; a másik egy klienst telepít újra, amely soha nem volt a probléma. Minden útvonalat külön vizsgáljon, hogy a válasz egy figyelőt írjon le, ne az egész hosztot.
Ez az öt ellenőrzés a nyilvános csomópontok szokásos módszereit fedi le. Ugyanabból a hálózatból futtassa őket, amelyet a kliens használ, mert egy szűrt port távolról pontosan úgy néz ki, mint egy hiányzó figyelő.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Eredmény | Szakasz | Mit zár ki |
|---|---|---|
| Kapcsolat elutasítva vagy időtúllépés | Szállítás | A figyelő hiányzik, szűrt vagy rossz port |
| TLS-kézfogási vagy identitáshiba | Tanúsítvány | A protokoll elérhetősége; a figyelő válaszolt |
| AUTH_FAILED vagy fiók elutasítása | Hitelesítés | A végpont; a probléma a hitelesítő adatokban van |
| UDP 500 és 4500 csendes | IPsec-tárgyalás | Az ESP és az L2TP a hitelesítés előtt blokkolva van |
Rendelje minden megfigyelt hibát a saját sorához, mielőtt bármit megváltoztat. A TLS-identitáshiba bizonyítja, hogy a figyelő létezik, ezért a profil másik protokollra írása működő bizonyítékot dobna el. Az elutasított kapcsolat csak azt bizonyítja, hogy ez a port nem válaszolt, ami sokkal szűkebb állítás annál, mint hogy „a csomópont nem támogatja az OpenVPN-t”.
Őrizze meg a hibát, mielőtt bármit megváltoztat
Jegyezze fel a pontos eredményt: az időtúllépés, a tanúsítvány identitáshibája, a fiók elutasítása és az alkalmazásszintű elutasítás négy különböző kimenet. Csak az első szól egy nem elérhető protokollról, és csak az utolsó szól a sikeres kapcsolat utáni engedélyről. A kliens visszaállítása vagy a protokollok cseréje megsemmisíti ezt a különbséget, mert a következő hiba más előzményekkel és összehasonlítási alapvonal nélkül érkezik.
Ne gyengítse az ellenőrzést, hogy egy inkompatibilis profil működőnek tűnjön. A kikapcsolt tanúsítvány-ellenőrzés egy világos identitáshibát olyan dologhoz való kapcsolattá alakít, ahová nem szándékozott eljutni, és az így kapott siker rosszabb az eredeti hibánál, mert elrejti, melyik szakasz volt hibás.
Ellenőrizze újra csomópontonként, minden alkalommal
A nyilvános csomópontlistán szereplő natív SSL, OpenVPN, L2TP/IPsec és SSTP lehetőségek az adott csomópont konfigurációját írják le abban a pillanatban. Ugyanaz a szoftver máshol más halmazt kínálhat, és a szolgáltató egy figyelőt visszavonhat a könyvjelzője és a következő kísérlete között. A régi jegyzetek régi telepítéseket írnak le.
Rögzítse az ellenőrzött profilt a végpontjával és módszerével, majd ismételje meg a vizsgálatot, amikor a csomópont megváltozik vagy a kapcsolat meghiúsulni kezd. A SoftEther protokoll specifikációja a hivatkozás arra, mire képes a szoftver; a csomópont saját listája a hivatkozás arra, mit tesz. Tartsa külön a két dokumentumot, és a diagnózis rövidebb lesz.