443 порту жооп берет, SSTP дагы эле иштебейт: кайсы этап бузулду?

Туннель эч качан курулбаганда 443 портуна TCP кол алышууну аяктоо бир нерсени далилдейт, жана ал кичинекей нерсе. Ошол даректе бир нерсе угуп, туташууну кабыл алууга даяр. Ал кызматты, сунуштала турган сертификатты же алгачкы байттардан кийин эмне болорун аныктабайт.

Ошол кол алышуу менен иштеген туннелдин ортосунда төрт этап бар, жана ар бири башка ката чыгарат.

Ачык порт бир гана катмарды сүрөттөйт

TCP туташуусун кабыл алуу процесс сокетке ээ экенин жана жол кол алышууга уруксат берерин билдирет. Бул процесс SSTP сервериби, профилиңиздеги ат үчүн жарактуу сертификаты барбы же аккаунтуңузду авторизациялайбы, бул тууралуу эч нерсе айтпайт. Ошол даректеги веб-сервер кол алышууга кемчиликсиз жооп берет, анан SSTP сурамыңызга HTTP катасы менен жооп берет. Ошол кол алышуунун үстүндөгүнүн баары текшерилбеген бойдон калат.

Порт тестин мүмкүн болушунча арзан чыпка катары караңыз, өкүм катары эмес. Анын баалуулугу ийгиликсиздиктин бүтүндөй категориясын жок кылаарында, ал эми үстүндөгүнүн баарын ырастоосунда эмес.

Экөөнү аралаштыруу — адамдар кардардын чыныгы көйгөйүн эч качан текшербеген тесттен кийин кардарларды кайра орнотушунун себеби.

Төрт этапты далилдер менен бөлүңүз

Этаптар — транспорттун жеткиликтүүлүгү, TLS текшерүүсү, HTTPS аркылуу SSTP алмашуусу жана туннелдин ичиндеги PPP аутентификациясы. Биринчиден өтүп, төртүнчүдө ийгиликсиз болгон жолго эсеп жазуу маалыматтарын оңдоо керек; экинчиде ийгиликсиз болгонго сертификатты же атты оңдоо керек. Бул оңдоолордун жалпы эч нерсеси жок, жана туура эмесин тандоо үзгүлтүштү бекер кетирет.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Үчүнчү буйрукту кылдат окуган жөн. Кадимки веб-баракчадан келген 200 веб-кызмат бар экенин айтат; SSTP сурамы түшүнүлөт деп айтпайт. Ошол даректен келген 404 VPN жөнүндө ошончолук эле маалыматсыз. Тек кардар журналы төрт этаптын кайсынысына жеткенин айтат.

Ар бир буйрук кайсы атты колдонгонуна көңүл буруңуз. Сертификат сиз жөнөткөн ат боюнча тандалат, ошондуктан профиль менен тесттин ортосундагы дал келбестик — өзүңүз киргизген дал келбестик. Ошол атты жыйынтыктын жанына жазуу кийинки баш аламандыкты болтурбайт.

Жарым-жартылай ийгиликти туура багытта окуңуз

Ортомчу кадимки серептөөгө уруксат берип, кийинки алмашуудан баш тарта алады, ошондуктан веб-сайттар үчүн иштеген прокси туннель үчүн ийгиликсиз болушу мүмкүн. Ушул эле үлгү сертификат браузердин атына жарактуу, бирок профилде конфигурацияланган атка жараксыз болгондо көрүнөт: браузер канааттанган, кардар эмес, жана экөө тең текшерген нерсесинде туура.

Муну диагностикалоо учурунда сервер текшерүүсүн күйүк тутуңуз. Аны өчүрүү сертификаттын дал келбестигин ийгиликтүү кол алышууга айландырып, ийгиликсиздикти түшүндүрө турган жалгыз далилди жашырат.

Эгер ошол эле профиль башка тармактан иштесе, айырма жолго көз каранды. Бул издөөнү ортомчуларга чектейт, бирок кайсынысы экенин айтпайт, жана бул дагы пайдалуу кадам. Колдонгон тармакты жазыңыз, анткени ансыз салыштыруунун мааниси жок.

Анан колдонмону текшериңиз, сессияны гана эмес

Сессия болгондо, ага муктаж кардардан көздөлгөн маршрутту, аттарды чечүүнү жана кызмат уруксатын текшериңиз. Туташкан туннелдин алыскы тарабында дагы эле жетишпеген багыттоо же эч качан болбогон кайтаруу маршруту болушу мүмкүн, жана бул ийгиликсиздиктер күтүп жаткан адамга так колдонмо көйгөйүндөй көрүнөт.

Ар бир тыянакты аны жараткан этапка байланыштырып туруңуз. Ачык портту иштеген VPN деп атоо беш мүнөттүк сертификат текшерүүсүн бир күндүк программалык камсыздоону кайра орнотууга айландыруунун жолу.