SSTP mengautentikasi server lebih dulu dan pengguna kemudian

Klien SSTP dapat menyelesaikan TLS dan tetap menolak pengguna satu detik kemudian. Urutan itu bukan bug, melainkan tumpukan protokol: keamanan transport lebih dulu, autentikasi pengguna setelahnya. Karena kedua tahap gagal dengan pesan berbeda, keduanya juga memerlukan perbaikan berbeda. Membaca tahap mana yang menghasilkan kesalahan adalah sebagian besar diagnosis.

Sertifikat tepercaya membuktikan titik akhir; ia tidak mengatakan apa pun tentang akun.

Apa yang ditetapkan jabat tangan TLS

Klien memvalidasi sertifikat yang disajikan server terhadap penyimpanan kepercayaannya, nama host yang diminta, jendela validitas, dan kebijakan tambahan apa pun yang diterapkan platform. Itu melindungi koneksi ke titik akhir yang dimaksud. Itu tidak membuktikan bahwa akun tertentu diaktifkan, belum kedaluwarsa, atau diizinkan memakai akses jarak jauh. Itu pertanyaan terpisah yang diajukan kemudian oleh komponen lain.

Karena itu, menghapus pemeriksaan sertifikat untuk mencapai prompt masuk adalah perbaikan yang salah. Anda mendapatkan prompt masuk pada koneksi yang tidak dapat Anda verifikasi. Kesalahan sertifikat termasuk urusan nama host, jam, rantai, atau konfigurasi kepercayaan.

Apa yang ditambahkan SSTP dan PPP di atasnya

SSTP berjalan di atas HTTPS dan membawa PPP di dalamnya, dengan pertukaran kontrolnya sendiri di sekitar koneksi. PPP kemudian menjalankan fase tautan dan autentikasinya, dan metode autentikasi bergantung pada kebijakan server dan kemampuan klien. PAP, CHAP, MS-CHAPv2, dan EAP semuanya opsi autentikasi PPP dengan sifat yang sangat berbeda. Pemeriksaan pengguna VPN adalah fase PPP itu, bukan lapisan TLS di bawahnya.

Penolakan pengguna karena itu bisa berarti kredensial, pembatasan akun, atau ketidakcocokan metode.

Alasan di sisi server jauh lebih berguna daripada mengatur ulang setiap rahasia di profil. Peristiwa akun dinonaktifkan dan kegagalan negosiasi metode terlihat mirip di klien dan tidak memiliki kesamaan di server.

Cocokkan kesalahan dengan tahap

Periksa apakah koneksi mencapai TLS, lalu pertukaran HTTP SSTP, lalu fase PPP. Jaga stempel waktu log tetap selaras di antara percobaan agar kegagalan sebelumnya tidak tertukar dengan keberhasilan berikutnya. Klien yang mencatat dua percobaan dalam satu jendela akan tampak gagal pada tahap terakhir yang dicapainya. Baca kesalahan pertama yang relevan, bukan baris terakhir.

Penyelarasan yang sama penting di sisi server, tempat catatan autentikasi dan log transport sering berupa berkas terpisah dengan jam terpisah. Dua menit kemiringan cukup untuk membuat penyebab yang jelas tampak mustahil.

Setelah masuk, otorisasi tetap terpisah

Masuk yang berhasil tidak memberikan setiap sumber daya privat. Rute menentukan apa yang dapat dijangkau, DNS menentukan apa yang diresolusi, dan setiap layanan tetap menerapkan izinnya sendiri. Sesi yang tampak terhubung adalah pernyataan tentang terowongan, bukan tentang berbagi berkas. Ketika pengguna dapat terhubung dan tidak dapat menjangkau satu host, fase terowongan sudah selesai.

Itu adalah pelapisan yang sama seperti yang ditunjukkan jabat tangan, satu tingkat lebih tinggi.

Pertahankan pemulihan akun dalam proses yang didukung operator alih-alih mengubah pengaturan transport sebagai respons terhadap penolakan pengguna yang eksplisit. Mengubah transport untuk memperbaiki akun yang dinonaktifkan adalah jenis perbaikan yang tampak berhasil ketika akun diaktifkan kembali karena alasan yang tidak terkait.