SSTP-tímamörk eða skírteinisvilla: hvernig á að greina þær í sundur

SSTP-tenging mistekst á tvo vegu sem líta eins út frá stól notandans, og viðgerðin fyrir hvora liggur á mismunandi lagi. Tímamörk þýða að nauðsynleg skipti kláruðust aldrei; skírteinisvilla þýðir að auðkennisefni barst og var hafnað. Ef þú meðferðir hina seinni eins og hina fyrri lendir þú í eldveggjum og lykilorðum sem voru aldrei vandamálið. Greiningarsönnunin er í logsgljánni sjálfs biðlarans, ef þú lest hana áður en þú breytir nokkru.

Tvö mistök, tvö mismunandi skipti

SSTP ber göng inni í lotu í HTTPS-líki, þess vegna lifir það af á netum sem leyfa ekkert nema 443. Biðlarinn klárar TLS-handaband, sendir HTTP-beiðni með aðferð sem er sértæk fyrir samskiptaregluna, og þá hleypur göngin inni í þeim straumi. Mistök á einhverju þessara skrefa stöðva tenginguna, og aðeins hin seinna snerta innskráningarupplýsingar.

Sú röð er greiningin. Ef TLS-handabandið klárast aldrei var engum innskráningarupplýsingum komið á framfæri, svo endurstilling lykilorðs getur ekki hjálpað. Ef handabandið klárast og stöðvast þá var auðkennið samþykkt og eitthvað á leið beiðninnar hafnaði því. Ef handabandið mistekst með villuskilaboðum svaraði þjónninn og biðlinum líkaði ekki það sem hann heyrði. Þrjár niðurstöður, þrjú lög.

Logslínan segir yfirleitt hvert af þremur þú ert í, þess vegna er þess virði að grípa hana fyrir fyrstu breytingu.

Tímamörk þýða að skref kláraðist aldrei

Byrjaðu á nafnaupplausn og TCP-aðgengi, því tímamörk þar líta nákvæmlega eins út og tímamörk síðar. Hafnartékktur sem tilkynnir 443 opið sannar að hlustandi hafi tekið við tengingu, og ekkert umfram það.

Næsti grunaði er leiðin en ekki hýsillinn. Milliþjónar og eldveggir sem þekkja forrit neita stundum um beiðniaðferðina sem SSTP notar, eða sleppa straumi sem stendur opinn klukkustundum saman, og bæði hegðunin lítur út eins og tímamörk frá biðlaranum. Venjuleg HTTPS-síða frá sama hýsli hleðst fullkomlega á meðan gönguaðferðinni er hafnað, þess vegna sannar vafur að endapunktinum svo litlu. Prófaðu frá neti án milliþjónsins til að aðskilja þessi tvö tilvik.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Tímamörk fyrir hvaða svar sem er frá mótaðilanum segja ekkert um reikninginn, og að breyta lykilorðinu á þeim tímapunkti bætir aðeins við einni breytu.

Skírteinisvilla þýðir að auðkenninu var hafnað

Hér svaraði þjónninn í raun, svo netið virkar og spurningin færist yfir í auðkennið. Berðu saman nafnið sem biðlarinn hringir í við nöfnin sem skírteinið fullyrðir í raun, og athugaðu síðan gildisdagsetningar og útgáfukeðjuna.

Einkarekið CA sem biðlarinn treystir ekki framleiðir sama flokk villu og útrunnið skírteini, og það sama gerir klukka sem er klukkustundum skökk. Að hringja í hráa vistfangið skapar nýtt misræmi, því skírteini fullyrðir nöfn en ekki vistföng. Í stýrðri uppsetningu skaltu fá fyrirhugaða trauststillingu frá stjórnanda hennar í stað þess að samþykkja vararót sem villusíða býður. Staðfesting helst á meðan þú lagar orsökina.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Haltu árangursríka TLS-skrefinu ósnortnu þegar það hefur staðist, því að afturkalla það síðar felur hvaða breyting raunverulega lagaði göngin.

Þar sem þessi tvö ruglast

Bæði mistökin birtast sem tenging sem kemst ekki upp, og bæði koma eftir að notandinn hefur breytt einhverju ótengdu. Það samhengi er það sem lætur röngu viðgerðina líta trúverðuga út um stund.

Tvær venjur halda þeim aðskildum. Gríptu logsglána biðlarans áður en þú snertir stillingarnar, svo fyrsta ástandið varðveitist. Breyttu einu lagi í hvert skipti, svo næsta niðurstaða tilheyri þekktri breytu. Hafnartékktur og vafri eru hlutaathuganir en ekki heil röðin, og hvorugt kemur í stað skýrslu biðlarans sjálfs. Hvorug venjan kostar nokkuð, og báðar stytta rannsóknina.

Skírteinisspurningin og aðgengisspurningin eru skjalfestar í sitthvoru lagi af ástæðu.

Prófaðu aftur með raunverulega biðlaranum, farðu svo inn á við

Þegar tiltekna leiðréttingin er komin á sinn stað skaltu reyna aftur með raunverulega SSTP-biðlaranum og rétta sniðinu, ekki með vafraflipa.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Ef lotan tengist og auðlindir mistekst enn er göngin ekki lengur grunaði: farðu í leiðarstillingu, DNS og aðgang að þjónustum. Það er önnur rannsókn með annarri sönnun. Að varðveita virku TLS- og auðkenningarskrefin kemur í veg fyrir að það verði endurtekning á hinu fyrra. Skrifaðu skrefið sem mistókst í miðann, annars byrjar næsti maður aftur efst.