SSTP mistekst þar sem HTTPS vafrans tekst: hvers vegna
SSTP keyrir innan TLS á porti 443, en það er ekki vefbeiðni. Prófaðu TCP, TLS-auðkenni, SSTP-skiptin og PPP-auðkenningu sem aðskilin stig.
Vafrinn opnar VPN-hestaheitið yfir HTTPS án kvörtunar, og SSTP biðlarinn neitar samt að tengjast. Ekkert við þetta par er mótsagnakennt. SSTP notar TLS sem ytra flutningslag og keyrir síðan eigin beiðni og PPP-gagn í þeirri tengingu, svo farsæl hleðsla síðu sannar aðeins eitt þröngt atriði: hýsillinn svarar GET á porti 443. Biðlarinn spyr annarrar spurningar, og netþjónninn gæti svarað henni illa.
Síðan hleðst og göngin ekki
Fólk grípur til vafraprófsins vegna þess að það er fljótt, og meðhöndlar síðan niðurstöðuna sem sönnun þess að netþjónninn sé aðgengilegur og stilltur. Það er sönnun um GET á þá slóð sem veffangastikan opnaði, ekkert meira. VPN-samtalið hefst eftir sama TLS-handabandi, en sendir aðferð og slóð sem vefsíða notar aldrei. Því segir svar 200 fyrir vafrann ekkert um hvort SSTP-endapunkturinn sé til.
Aðskildu athuganirnar tvær og leitin verður styttri. Flutningur og vottorðakeðjan virka, og eitthvað í samskiptum siðareglunnar ofan við þau virkar ekki. Það er önnur rannsókn en brotið port eða útrunnið vottorð, og hún krefst annarra sönnungargagna.
Hvað SSTP-biðlarinn sendir í raun
Biðlarinn sendir HTTP-beiðni með aðferðinni SSTP_DUPLEX_POST á slóðina /sra_{GUID}/, og heldur síðan líkama tengingarinnar opnum sem tvíátta straumi sem ber PPP-ramma. Samræmdur netþjónn svarar HTTP/1.1 200 og hættir að haga sér eins og vefþjónn. Allt annað er undirskrift: 405 eða 404 þýðir að endapunkturinn er ekki þar, 301 eða 302 þýðir að eitthvað beinir beiðninni áfram, og tafarlaust FIN þýðir að umboðsþjónn eða netþjónn lokaði straumnum.
Þess vegna verður skotmarkið að vera SSTP-netþjónn en ekki vefþjónn með TLS-vottorði skrúfuðu á. Aðferðin, slóðin og langlífi líkaminn eru skilyrði siðareglunnar, svo öfugt umboð getur ekki bætt þeim við eingöngu með stillingum. Umboð sem sendir venjulegt HTTPS fullkomlega áfram getur samt hafnað aðferð sem það þekkir ekki.
Hvar umboð eða vefþjónn brýtur strauminn
Milliliður skoðar HTTP-beiðnilínuna áður en hann sendir nokkuð áfram, og sérsniðin aðferð með óvenjulegri slóð getur fallið á reglum hans. Sum tæki þjóna venjulegri síðu á meðan þau hafna eða rjúfa göngin, svo biðlarinn tilkynnir tengingu sem byrjar og deyr síðan í stað hreinnar synjunar. Önnur samþykkja beiðnina og beita síðan tímafresti fyrir líkama eða aðgerðaleysi sem PPP-lífsskynjarar þola ekki. Bæði líta eins út frá biðlarahlið, þess vegna skiptir stigið sem mistókst meira máli en villutextinn.
Að deila porti 443 milli vefsvæðis og SSTP er leiðarval, ekki loforð um að hvert stökk meðhöndli bæði samtölin á sama hátt. Ef jafnvægisgjafi, eldveggur eða TLS-endir er á leiðinni, bættu honum á grunalistann áður en þú snertir VPN-stillingarnar.
Prófaðu stigin hvert fyrir sig
Keyrðu prófanirnar í röð og stöðvaðu við fyrstu bilun, því hvert stig útilokar annað lag. TLS-sondin hér að neðan aðgreinir auðkenni vottorðsins frá öllu sem SSTP gerir. Skiptu hestaheitinu út fyrir endapunktinn þinn og lestu subject og keðjuna sem hún prentar.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comSíðan varpaðu sönnunargögnunum sem eftir eru á stigin í stað þess að giska út frá villu biðlarans. Taflan hér að neðan er gátlistinn til að vitna í miðann, með undirskriftinni sem aðgreinir eina bilun frá þeirri næstu.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
Skráðu síðasta stigið sem tókst í miðann í stað þess að skrifa "get ekki tengst". MS-SSTP forskriftin skjalfestir beiðnina og PPP-skiptin sem fylgja TLS-handabandinu, og er tilvísunin fyrir því hvers vegna vafrapróf getur ekki staðið í staðinn fyrir hvort tveggja.
Auðkenni fyrst, svo PPP
TLS-auðkenni og PPP-auðkenning eru í röð, ekki valkvæð, og að rugla þeim sendir fólk á rangar netþjónsstillingar. Biðlarinn staðfestir fyrst vottorð netþjónsins og tilætlaðan tilgang þess, síðan semur PPP um eigið ástand og auðkennir notandann með áskorun-og-svarm aðferð eða EAP. Vottorðsvandamál framleiðir aðra villu en hafnað lykilorð, og hvorug villan lýsir því stigi sem hin nær yfir.
Að skipta hestaheitinu út fyrir vistfang, eða smella fram hjá vottorðsviðvöruninni, fjarlægir prófunina sem hefði bent á stigið sem mistókst í stað þess að laga það. Haltu viðvöruninni og lestu hana. Endurstilltu heldur ekki PPP-lykilorð þegar HTTP-skiptin náðu aldrei SSTP-hegðuninni, því skírteinin voru aldrei beðin um.