SSTP күту уақыты немесе сертификат қатесі: оларды қалай ажыратуға болады

SSTP байланысы пайдаланушы орындығынан бірдей көрінетін екі жолмен істен шығады, және әрқайсысының жөндеуі басқа қабатта жатыр. Күту уақыты қажетті алмасудың ешқашан аяқталмағанын білдіреді; сертификат қатесі жеке бас материалның келіп, қабылданбағанын білдіреді. Екіншісін біріншісі ретінде қарау сізді ешқашан мәселе болмаған брандмауэрлер мен құпиясөздерге жібереді. Айыратын дәлел клиенттің өз журналында, егер бірдеңені өзгертуден бұрын оны оқысаңыз.

Екі сәтсіздік, екі түрлі алмасу

SSTP туннельді HTTPS пішінді сессияның ішінде тасымалдайды, сондықтан 443-тен басқаны рұқсат етпейтін желілерде де тіршілік етеді. Клиент TLS қол алысуды аяқтайды, протоколға тән әдіспен HTTP сұрау жібереді, содан кейін туннель сол ағынның ішінде жүреді. Осы қадамдардың кез келгеніндегі сәтсіздік байланысты тоқтатады, және тек кейінгілері ғана тіркелу деректеріне қатысты.

Осы реттілік — диагностиканың өзі. Егер TLS қол алысу ешқашан аяқталмаса, ешбір тіркелу дерегі жіберілмеген, сондықтан құпиясөзді қалпына келтіру көмектесе алмайды. Егер қол алысу аяқталып, содан кейін тоқтап қалса, жеке бас қабылданған және сұрау жолындағы бірдеңе оны қабылдамаған. Егер қол алысу тексеру хабарламасымен сәтсіз болса, сервер жауап берген және клиент естігенін ұнатпаған. Үш нәтиже, үш қабат.

Журнал жолы әдетте үшеуінің қайсысында екеніңізді айтады, сондықтан оны бірінші өзгеріске дейін тіркеп алу керек.

Күту уақыты кезеңнің ешқашан аяқталмағанын білдіреді

Атау шешімінен және TCP қолжетімділігінен бастаңыз, өйткені ондағы күту уақыты кейінгі күту уақытына дәл ұқсайды. 443 ашық деп хабарлайтын порт тексерушісі тек тыңдаушының байланысты қабылдағанын дәлелдейді, одан артық емес.

Келесі күдікті — хост емес, жол. Проксилер мен қолданбаларды танитын брандмауэрлер кейде SSTP пайдаланатын сұрау әдісінен бас тартады немесе сағат бойы ашық тұрған ағынды тастайды, және екі мінез-құлық та клиент жағынан күту уақытына ұқсайды. Сол хост ұсынатын қарапайым HTTPS беті туннель әдісі қабылданбаған кезде мінсіз жүктеледі, сондықтан соңғы нүктеге шолу өте азды дәлелдейді. Осы екі жағдайды бөлу үшін прокси жоқ желіден сынап көріңіз.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Серіктестің кез келген жауабына дейінгі күту уақыты шот туралы ештеңе айтпайды, және сол сәтте құпиясөзді өзгерту тек бір айнымалы қосады.

Сертификат қатесі жеке бастың қабылданбағанын білдіреді

Мұнда сервер шынымен жауап берді, сондықтан желі жұмыс істеп тұр және сұрақ жеке басқа ауысады. Клиент қоңырау шалатын атауды сертификат шынымен бекітетін атаулармен салыстырыңыз, содан кейін қолданылу мерзімдері мен шығару тізбегін тексеріңіз.

Клиент сенбейтін жеке CA мерзімі өткен сертификатпен бірдей қате класын тудырады, және сағаттарға қате жүрген сағат та солай. Шикі мекенжайға қоңырау жаңа сәйкессіздік тудырады, өйткені сертификат атауларды бекітеді, мекенжайларды емес. Басқарылатын орналастыруда қате беті ұсынатын ауыстыру түбірін қабылдаудың орнына оның әкімшісінен көзделген сенім конфигурациясын алыңыз. Себепті түзетіп жатқанда тексеру қосулы қалады.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Сәтті TLS кезеңін ол өткеннен кейін тиіспестей сақтаңыз, өйткені оны кейінірек кері қайтару туннельді шынымен қай өзгеріс түзеткенін жасырады.

Осы екеуі қай жерде шатасады

Екі сәтсіздік те көтерілмейтін байланыс ретінде көрінеді, және екеуі де пайдаланушы байланысы жоқ бірдеңені өзгерткеннен кейін келеді. Дәл осы кездейсоқтық дұрыс емес жөндеуді біраз уақыт сенімді көрсетеді.

Екі әдет оларды бөліп ұстайды. Конфигурацияға тиіспес бұрын клиент журналын жазып алыңыз, бірінші күй сақталсын. Әр әрекетте бір қабатты өзгертіңіз, келесі нәтиже белгілі айнымалыға тиесілі болсын. Порт тексерушісі мен браузер толық реттілік емес, ішінара бақылаулар, және ешқайсысы клиенттің өз есебін алмастырмайды. Екі әдеттің де құны жоқ, және екеуі де тергеуді қысқартады.

Сертификат мәселесі мен қолжетімділік мәселесі бір себеппен бөлек құжатталған.

Нақты клиентпен қайта сынаңыз, содан кейін ішке қарай жылжыңыз

Нақты түзету орнына түскеннен кейін браузер қойындысымен емес, нақты SSTP клиентімен және шынайы профильмен қайталап көріңіз.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Егер сессия қосылып, ресурстар әлі істен шықса, туннель енді күдікті емес: маршруттауға, DNS-ке және қызметтерге қолжетімділікке көшіңіз. Бұл басқа дәлелдері бар басқа тергеу. Жұмыс істеп тұрған TLS және аутентификация кезеңдерін сақтау оның біріншісінің қайталануына айналуына жол бермейді. Сәтсіз болған кезеңді билетке жазыңыз, әйтпесе келесі адам қайтадан жоғарыдан бастайды.