A 443-as port válaszol, az SSTP mégis meghiúsul: melyik szakasz tört el?

TCP-kézfogás befejezése a 443-as porton úgy, hogy az alagút soha nem épül fel, egy dolgot bizonyít, és az egy apró dolog. Valami figyel, és hajlandó kapcsolatot fogadni azon a címen. Ez nem azonosítja a szolgáltatást, a bemutatandó tanúsítványt, sem azt, hogy mi történik az első bájtok után.

Négy szakasz van a kézfogás és egy működő alagút között, és mindegyik más hibát termel.

A nyitott port csak egy réteget ír le

TCP-kapcsolat elfogadása azt jelenti, hogy egy folyamat birtokolja a socketet, és az útvonal engedi a kézfogást. Ez semmit sem mond arról, hogy a folyamat SSTP-kiszolgáló-e, van-e érvényes tanúsítványa a profilban szereplő névre, vagy engedélyezni fogja-e a fiókját. Egy webkiszolgáló ugyanazon a címen tökéletesen válaszol a kézfogásra, majd HTTP-hibával válaszol az SSTP-kérésére. A kézfogás feletti minden tesztelés nélkül marad.

Tekintse a porttesztet a lehető legolcsóbb szűrőnek, nem ítéletnek. Az értéke abban van, hogy egy egész hibatípust kiszűr, nem abban, hogy megerősíti a felette lévő mindent.

A kettő összekeverése az oka annak, hogy az emberek újratelepítik a klienseket egy olyan teszt után, amely soha nem vizsgálta a kliens valódi problémáját.

Válassza szét a négy szakaszt bizonyítékokkal

A szakaszok a szállítás elérhetősége, a TLS-érvényesítés, az SSTP-csere HTTPS felett és a PPP-hitelesítés az alagúton belül. Az az útvonal, amely átmegy az elsőn és elbukik a negyediken, hitelesítő adatok javítását igényli; amelyik a másodikon bukik el, tanúsítvány- vagy névjavítást igényel. Ezeknek a javításoknak semmi közük egymáshoz, és a rossz kiválasztása elpazarolja a kiesést.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

A harmadik parancsot érdemes figyelmesen elolvasni. Egy közönséges weboldal 200-as válasza azt mondja, hogy van webszolgáltatás; nem azt, hogy az SSTP-kérést meg fogják érteni. Ugyanarról a címről egy 404 ugyanolyan semmitmondó a VPN-ről. Csak a kliens naplója mondja meg, melyik szakaszig jutott el a négyből.

Figyelje meg, melyik parancs milyen nevet használt. A tanúsítványt a küldött név alapján választják ki, tehát a profil és a teszt közötti eltérés olyan eltérés, amelyet Ön vezetett be. A névnek az eredmény mellé írása később megelőzi a zavart.

Olvassa a részleges sikert a megfelelő irányba

Egy közvetítő engedélyezheti a szokásos böngészést és megtagadhatja a későbbi cserét, ezért egy webhelyeknél működő proxy továbbra is meghiúsulhat egy alagútnál. Ugyanez a minta jelenik meg, amikor a tanúsítvány érvényes egy böngészőnévre, de nem a profilban beállított névre: a böngésző elégedett, a kliens nem, és mindkettő igazat mond arról, amit ellenőrzött.

Tartsa bekapcsolva a kiszolgáló érvényesítését, miközben ezt diagnosztizálja. Kikapcsolása a tanúsítvány-eltérést sikeres kézfogássá alakítja, és elrejti az egyetlen bizonyítékot, amely megmagyarázta volna a hibát.

Ha ugyanaz a profil más hálózatról működik, a különbség útvonalfüggő. Ez a közvetítőkre szűkíti a keresést anélkül, hogy megmondaná, melyikre, és ez még mindig hasznos előrelépés. Jegyezze fel a használt hálózatot, mert az összehasonlítás nélküle értéktelen.

Ezután az alkalmazást tesztelje, ne csak a munkamenetet

Amikor létezik munkamenet, ellenőrizze a szándékolt útvonalat, a névfeloldást és a szolgáltatásengedélyt attól a klienstől, amelynek szüksége van rájuk. Egy csatlakoztatott alagútnál továbbra is hiányozhat a továbbítás a túloldalon, vagy létezhet olyan visszaútvonal, amely soha nem volt, és ezek a hibák pontosan alkalmazáshibának tűnnek a várakozó ember számára.

Tartsa minden következtetést ahhoz a szakaszhoz kötve, amely létrehozta. Egy nyitott port működő VPN-nek nevezni az az út, amelyen egy ötperces tanúsítvány-ellenőrzés egy nap szoftver-újratelepítéssé válik.