443 порты жауап береді, SSTP әлі де істемейді: қай кезең бұзылды?

Туннель ешқашан құрылмай тұрып, 443 портына TCP қол алысуды аяқтау бір нәрсені дәлелдейді, және ол кішкене нәрсе. Сол мекенжайға бірдеңе тыңдап, қосылымды қабылдауға дайын. Бұл қызметті, ұсынылатын сертификатты немесе алғашқы байттардан кейін не болатынын анықтамайды.

Сол қол алысу мен жұмыс істейтін туннель арасында төрт кезең бар, және әрқайсысы басқа қате шығарады.

Ашық порт тек бір қабатты сипаттайды

TCP қосылымын қабылдау процестің сокетке ие екенін және жолдың қол алысуға рұқсат беретінін білдіреді. Бұл сол процесс SSTP сервері ме, профиліңіздегі атауға жарамды сертификаты бар ма, әлде аккаунтыңызды авторизациялай ма, ол туралы ештеңе айтпайды. Сол мекенжайдағы веб-сервер қол алысуға мінсіз жауап береді де, содан кейін SSTP сұранысыңызға HTTP қатесімен жауап береді. Сол қол алысудың үстіндегінің бәрі тексерілмеген күйде қалады.

Порт тестін ең арзан сүзгі ретінде қараңыз, үкім ретінде емес. Оның құндылығы сәтсіздіктің біртұтас санатын жоятынында, ал үстіндегінің бәрін растайтынында емес.

Екеуін шатастыру — адамдар клиенттің нақты мәселесін ешқашан тексермеген тесттен кейін клиенттерді қайта орнатуының себебі.

Төрт кезеңді дәлелдермен бөліңіз

Кезеңдер — тасымалдың қолжетімділігі, TLS тексеруі, HTTPS арқылы SSTP алмасуы және туннель ішіндегі PPP аутентификациясы. Біріншіден өтіп, төртіншіде сәтсіз болатын жолға тіркелгі деректерін түзету керек; екіншіде сәтсіз болатынға сертификатты немесе атауды түзету керек. Бұл жөндеулердің ортақ ештеңесі жоқ, және қатесін таңдау үзілісті босқа жұмсайды.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Үшінші команданы мұқият оқыған жөн. Кәдімгі веб-беттен келген 200 веб-қызметтің бар екенін айтады; SSTP сұранысы түсініледі деп айтпайды. Сол мекенжайдан келген 404 VPN туралы дәл соншалықты ақпаратсыз. Тек клиент журналы төрт кезеңнің қайсысына жеткенін айтады.

Әр команданың қандай атау қолданғанына назар аударыңыз. Сертификат сіз жіберетін атау бойынша таңдалады, сондықтан профиль мен тест арасындағы сәйкессіздік — өзіңіз енгізген сәйкессіздік. Сол атауды нәтиженің жанына жазу кейінгі шатасуды болдырмайды.

Ішінара табысты дұрыс бағытта оқыңыз

Делдал кәдімгі шолуды рұқсат етіп, кейінгі алмасудан бас тарта алады, сондықтан веб-сайттар үшін жұмыс істейтін прокси туннель үшін сәтсіз болуы мүмкін. Дәл осы үлгі сертификат браузер атауына жарамды, бірақ профильде конфигурацияланған атауға жарамсыз болғанда пайда болады: браузер қанағаттанған, клиент емес, және екеуі де тексерген нәрсесінде дұрыс.

Мұны диагностикалау кезінде сервер тексеруін қосулы ұстаңыз. Оны өшіру сертификат сәйкессіздігін сәтті қол алысуға айналдырып, сәтсіздікті түсіндірер еді тек қана дәлелді жасырады.

Егер сол профиль басқа желіден жұмыс істесе, айырмашылық жолға тәуелді. Бұл іздеуді делдалдарға тарылтады, бірақ қайсысы екенін айтпайды, және бұл әлі де пайдалы қадам. Пайдаланған желіні жазыңыз, өйткені онсыз салыстырудың мәні жоқ.

Содан кейін қолданбаны тексеріңіз, тек сессияны емес

Сессия болған кезде, оған мұқтаж клиенттен мақсатты маршрутты, атауларды шешуді және қызмет рұқсатын тексеріңіз. Қосылған туннельде әлі де алыс жақта жетіспейтін қайта бағыттау немесе ешқашан болмаған қайтару маршруты болуы мүмкін, және бұл сәтсіздіктер күтіп тұрған адамға дәл қолданба мәселесі болып көрінеді.

Әр тұжырымды оны тудырған кезеңге байланыстырып ұстаңыз. Ашық портты жұмыс істейтін VPN деп атау бес минуттық сертификат тексеруінің бір күндік бағдарламалық қамтамасыз етуді қайта орнатуға айналу жолы.