SSTP-vottorð passar ekki: nafnið sem þjónninn þinn verður að sýna

SSTP biðlari SSTP tekur við þjóninum aðeins eftir að TLS-sannprófun heppnast, og sú athugun ber saman nafn, keðju og tilgang. Nafnið kemur úr tengisniðinu, ekki frá vistfanginu sem þú getur fyrir tilviljun pingað. Þegar eitt af þrennu passar ekki tilkynnir biðlarinn vottorðsvandamál og nær aldrei innskráningarbeiðninni.

Nafnið í sniðinu ræður því hvað er athugað

SSTP keyrir TLS yfir TCP 443, þannig að biðlarinn hegðar sér eins og hver annar TLS-biðlari: hann tekur hýsilnafnið úr sniðinu, biður um það nafn og ber vottorðið saman við það. Ef þú slærð IP-vistfang inn í sniðið verður samanburðurinn samanburður IP-vistfanga, sem flest vottorð þjóna uppfylla ekki.

Þess vegna getur prófun í vafra heppnast á meðan VPN mistekst, því vafrinn notaði annað nafn en sniðið. Sama klofningurinn kemur fram þegar split-horizon DNS leysir hýsilnafn VPN í innra vistfang á meðan vafrinn náði opinberu. Stilltu sniðið fyrst af við skjalfesta hýsilnafnið og berðu síðan saman vottorð. Allt annað sem þú breytir fyrir það er ágiskun.

Hvað vottorð þjónsins verður að bera

Nútíma biðlarar bera saman við viðbótina um önnur nöfn hugtaksins, svo hýsilnafnið verður að koma þar fram sem DNS-færsla. Eitt algilt nafn er ekki nóg fyrir núverandi sannprófunarstaka, og algildistákn nær yfir eitt merki, ekki hvaða undirlén sem þú finnur upp. Þrjú vottorð sýna mörkin: rétta nafnið með röngum tilgangi sannreynir auðkennið og mistekst svo í tilgangsathugun, rétta nafnið og tilgangurinn með vanti millivottorð mistekst í keðjunni, og nafn sem kemur aðeins fram í almenna nafninu mistekst áður en annað hvort þeirra tveggja skiptir máli.

Vottorðið þarf líka tilganginn auðkenning þjóns, gildið fyrir útvíkkaða lyklanotkun sem nefnt er í forskrift SSTP frá Microsoft, það er serverAuth með hlutauðkenninu 1.3.6.1.5.5.7.3.1. Lyklanotkun og gild keðja fullkomna mengið. Vottorð sem er á þjóninum, gefið út fyrir rétta nafnið en aðeins fyrir auðkenningu biðlara, mistekst samt.

Athugaðu keðjuna og klukkuna fyrir innskráningarupplýsingar

Tíma- og traustmistök gefa sömu sýnilegu niðurstöðu og nafnamismunur, og bæði er ódýrara að greina en lykilorðsvandamál. Athugaðu klukku þjónsins og klukku biðlarans og lestu síðan keðjuna eins og biðlarinn sér hana:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Fyrsta skipunin prentar nafnið, gildistímabilið og þau önnur nöfn sem biðlarinn ber saman við. Önnur tilkynnir sannprófunarvillur með keðjunni eins og hún er lögð fram, og þar kemur vanti millivottorðið í ljós. Í Windows segir fyrirspurn tímaþjónustunnar þér hvort klukkan sé leiðrétt eða hafi einfaldlega rekið.

Innra CA bætir við einum skilyrði: biðlarinn verður að treysta því CA. Settu upp rót stofnunarinnar gegnum samþykkta dreifingarleið sína, ekki frá síðu sem býður staðgengilsvottorð, því sú ákvörðun er allt traustlíkanið í smækkaðri mynd.

Sannprófun þjóns og auðkenning notanda eru samfelld stig með mismunandi mistökum. Vottorðsvilla þýðir að biðlarinn treysti þjóninum aldrei, en hafnað lykilorð þýðir að hann treysti þjóninum og upplýsingarnar voru rangar. Að slökkva á vottorðssannprófun til að komast að lykilorðsbeiðninni fjarlægir trygginguna í stað þess að gera við hana. Til að sanna að restin af leiðinni virki skaltu prófa sama hýsilnafn og port frá biðlara sem treystir keðjunni þegar, og láta uppsetta sniðið ósnert.

Lagaðu nafnið eða vottorðið og prófaðu aftur

Þrjú skilyrði ráða viðgerðinni. Ef nafnið í sniðinu er rangt skaltu laga sniðið eða bæta vanta nafninu við vottorðið. Ef keðjan er ófullkomin skaltu setja millivottorðið upp á þjóninum. Ef tilgangurinn er rangur skaltu gefa út að nýju í stað þess að bæta utan um það.

Eftir breytinguna skaltu tengjast aftur með studda biðlaranum og staðfesta að innskráningarbeiðnin birtist og síðan að göngin rísi. Skráðu hýsilnafnið sem notað var, útgefandann og gildislokadaginn í miðann. Sú skráning er það sem gerir næstu endurnýjun að skipulagðri vinnu í staðinn fyrir enn eitt niðurfall, og sýnir næsta manni hvaða af þremur skilyrðum var í raun brotið.