SSTP bak við TLS-skoðandi milliþjón: hvar lotan slitnar

Vafrinn þinn hleður innra neti fyrirtækisins, vottorð milliþjónsins er treyst, og samt dettur SSTP-biðlarinn út nálægt lokum tengingarinnar. Þetta mynstur bendir á muninn á vefbeiðni og lotu í göngum, ekki á rangt lykilorð. Farðu í gegnum tenginguna frá TCP og upp og skráðu fyrsta þrepið sem bregst. Þrepið, ekki villukóðinn, segir þér hvort milliþjónninn er orsökin.

Byrjaðu þar sem biðlarinn stöðvast

Biðlarinn fer í gegnum fasta röð: TCP-tenging á gátt 443, TLS-handaband, vottorðsstaðfesting, HTTP-skipti SSTP, PPP-samningaviðræður og auðkenning, og síðan IP-stilling. Brestur á hverju þrepi skilur eftir sig annað fingrafar, og að rugla þeim saman sendir þig á ranga stillingarsíðu.

TCP-brestur er tímamörk eða endurstilling áður en nokkur TLS-bæti birtist. TLS-brestur er viðvörun eða tímamörk handabands. Vottorðsbrestur framkallar viðvörun um keðjuna eða nafnið. HTTP-brestur kemur eftir árangursríkt handaband, oft sem stöðukóði eða tafarlaus lokun. PPP-brestur kemur eftir að göngin eru tæknilega komin á laggirnar, þess vegna lítur hann út eins og auðkenningarvandamál.

Lestu biðlaraloggið fyrir síðasta árangursríka þrepið frekar en fyrstu villulínuna. Villulínan greinir venjulega frá afleiðingunni, en þrepsmörkin nefna hlutann sem neitaði.

Hvað SSTP krefst þess að netið beri

SSTP keyrir yfir TLS á TCP 443 og sendir síðan HTTP-beiðni sem heitir SSTP_DUPLEX_POST, skilgreinda í SSTP-forskriftinni, á slóð af forminu /sra_{GUID}/. Beiðnin tilgreinir í reynd ótakmarkaða innihaldslengd og heldur straumnum opnum í báðar áttir alla lotuna. PPP-rammar ferðast inni í þeim straumi.

Þess vegna getur milliþjónn sem sinnir venjulegri vafrun samt brugðist. GET eða POST með endanlegum bolta er hægt að biðminnka, skoða og senda áfram; tvíátta straum með bolta sem endar aldrei er ekki hægt. Milliþjónn sem bíður þess að bolti klárist bíður að eilífu, og biðlarinn lendir að lokum í tímamörkum.

Aðferðasía og auðkenning bæta við sínum eigin brestamátum. Ef milliþjónninn biður beiðnina um skilríki gæti VPN-biðlarinn ekki svarað þótt vafrinn myndi gera það. Ef hann fjarlægir eða endurskrifar aðferðina hafnar gáttin beiðninni áður en PPP hefst.

Hvers vegna skoðun breytir auðkenninu

Milliþjónn sem skoðar TLS lýkur TLS-tengingu biðlarans og opnar aðra tengingu til gáttarinnar. Þess vegna staðfestir biðlarinn vottorð milliþjónsins, ekki gáttarinnar, og gáttin sér milliþjóninn sem jafningja sinn. Þegar fyrirtækið dreifir eigin rót geta bæði vafrinn og VPN-biðlarinn samþykkt þá keðju, svo handabandið heppnast og vandamálið færist á næsta þrep.

Árangursrík staðfesting þýðir ekki að milliþjónninn geti borið lotuna. Hann verður enn að endursenda ótakmarkaða tvíátta POST án biðminnis og halda báðum tengingum lifandi í klukkustundir. Mörg skoðunarvörur eru byggðar fyrir beiðni-svar umferð og meðhöndla þetta tilvik illa eða alls ekki.

Þess vegna er að bæta við óþekktri rót eða slökkva á staðfestingu röng viðgerð. Það breytir því hvaða vottorð biðlarinn samþykkir; það gerir ekkert við straummeðferðina sem raunverulega braut lotuna.

Greindu útgefandann áður en þú breytir stillingum

Spurðu endapunktinn hvaða vottorð hann leggur fram og hver skrifaði það undir. Skipanirnar hér að neðan sýna keðjuna og útgefandann án þess að hefja VPN-lotu:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Ef útgefandinn er opinbert CA er tengingunni líklega ekki hlerað fyrir þennan vélarhús og bresturinn er annars staðar. Ef útgefandinn er eigið CA fyrirtækisins er skoðun virk og gáttin næst í gegnum milliþjón. Berðu fingrafarið saman við það sem nettímið á von á áður en þú dregur ályktun af nafninu einu.

Vafrapróf á sama vélarhús sannar aðeins að milliþjónninn samþykki GET. Það segir ekkert um SSTP-aðferðina, URI beiðnarinnar eða líftíma boltans, svo ekki taka velfungandi innra netsíðu sem sönnun þess að slóð ganganna sé studd.

Veldu studdu slóðina

Spurðu eiganda netsins eina ákveðna spurningu: leyfir milliþjónninn óbiðminnkaða tvíátta POST til þessarar gáttar á gátt 443? Já leiðir til undantekningar í milliþjóninum eða skjalfestrar framhjáhlaupa fyrir VPN-vélarhúsið. Nei þýðir að skoðaða slóðin getur ekki borið SSTP, og studda lagfæringin er önnur slóð eða samskiptaregla, ekki stilling biðlarans.

Valkostirnir fela venjulega í sér óskoðaða útleið fyrir VPN-gáttina, hönnun klofinna ganga sem sendir aðeins fyrirtækjaumferð í gegnum milliþjóninn, eða aðra samskiptareglu sem fyrirtækið styður á annarri gátt. Hver um sig tilheyrir netkerfishönnuninni, og hver um sig ætti að prófa með sama tæki og sama sniði svo samanburðurinn einangri slóðina.

Skráðu niðurstöðuna: útgefandi, þrep sem brást, regla milliþjóns og valin slóð. Næsta manneskja sem sér sama 98 prósenta stöðnun getur þá athugað eitt atriði í stað þess að endurtaka alla ferðina.