SSTP күтүү убактысы же сертификат катасы: аларды кантип айырмалоо керек

SSTP байланышы колдонуучунун отургучунан бирдей көрүнгөн эки жол менен иштен чыгат, жана ар биринин оңдоосу башка катмарда жатат. Күтүү убактысы талап кылынган алмашуу эч качан бүтпөгөнүн билдирет; сертификат катасы инсандык материал келип, четке кагылганын билдирет. Экинчисин биринчиси катары кароо сизди эч качан көйгөй болбогон брандмауэрлер менен сырсөздөргө алып барат. Айырмалаган далил кардардын өз журналында, эгер бир нерсени өзгөртүүдөн мурун аны окусаңыз.

Эки ийгиликсиздик, эки башка алмашуу

SSTP туннелди HTTPS формасындагы сессиянын ичинде алып жүрөт, ошондуктан 443төн башканы уруксат кылбаган тармактарда да жашайт. Кардар TLS кол алышууну аяктайт, протоколго таандык метод менен HTTP суроо жөнөтөт, анан туннель ошол агымдын ичинде жүрөт. Ошол кадамдардын кайсынысында болбосун ийгиликсиздик байланышты токтотот, жана кирүү маалыматтарына кийинкилери гана тиешелүү.

Ошол тартип — диагностика. Эгер TLS кол алышуу эч качан бүтпөсө, эч кандай кирүү маалыматы жөнөтүлгөн эмес, ошондуктан сырсөздү кайра коюу жардам бере албайт. Эгер кол алышуу бүтүп, анан токтоп калса, инсандык кабыл алынган жана суроо жолундагы бир нерсе аны четке каккан. Эгер кол алышуу текшерүү билдирүүсү менен ийгиликсиз болсо, сервер жооп берген жана кардар укканын жактырган эмес. Үч натыйжа, үч катмар.

Журнал сабы адатта үчөөнүн кайсынысында экениңизди айтат, ошондуктан аны биринчи өзгөртүүгө чейин жазып алуу керек.

Күтүү убактысы баскыч эч качан бүтпөгөнүн билдирет

Ат атоо чечиминен жана TCP жеткиликтүүлүгүнөн баштаңыз, анткени ал жердеги күтүү убактысы кийинки күтүү убактысына так окшош. 443 ачык деп билдирген порт текшергич күтүүчү байланышты кабыл алганын гана далилдейт, андан ары эч нерсени.

Кийинки шектелүүчү — хост эмес, жол. Проксилер жана колдонмолорду тааныган брандмауэрлер кээде SSTP колдонгон суроо методун четке кагышат же саат бою ачык турган агымды ташташат, жана эки жүрүм-турум тең кардар тараптан күтүү убактысына окшош. Ошол эле хост сунуштаган кадимки HTTPS баракчасы туннел методу четке кагылганда эле кынтыксыз жүктөлөт, ошондуктан акыркы чекитке сереп салуу абдан азды далилдейт. Бул эки учурду бөлүү үчүн проксисиз тармактан сынап көрүңүз.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Өнөктөштүн кандайдыр бир жообуна чейинки күтүү убактысы эсеп тууралуу эч нерсе айтпайт, жана ошол учурда сырсөздү өзгөртүү бир гана өзгөрмө кошот.

Сертификат катасы инсандык четке кагылганын билдирет

Бул жерде сервер чын эле жооп берди, ошондуктан тармак иштеп жатат жана суроо инсандыкка өтөт. Кардар чалган атты сертификат чын эле ырастаган аттар менен салыштырыңыз, анан жарактуулук даталарын жана чыгарган тизмекти текшериңиз.

Кардар ишенбеген жеке CA мөөнөтү өткөн сертификат сыяктуу эле ката классын жаратат, жана сааттарга туура эмес жүргөн саат да ошондой. Чийки дарекке чалуу жаңы дал келбестикти жаратат, анткени сертификат аттарды ырастайт, даректерди эмес. Башкарылуучу жайгаштырууда ката баракчасы сунуш кылган алмаштыруучу тамырды кабыл алуунун ордуна анын администраторунан көздөлгөн ишеним конфигурациясын алыңыз. Себепти оңдоп жатканда текшерүү күйүк турат.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Ийгиликтүү TLS баскычын ал өткөндөн кийин тийбестен сактаңыз, анткени аны кийинчерээк кайтаруу туннелди чын эле кайсы өзгөртүү оңдогонун жашырат.

Бул экөө кайда аралашат

Эки ийгиликсиздик тең көтөрүлбөгөн байланыш катары көрүнөт, жана экөө тең колдонуучу байланышсыз нерсени өзгөрткөндөн кийин келет. Дал ушул кокустук туура эмес оңдоону бир аз убакыт ишенгидей көрсөтөт.

Эки адат аларды бөлүп турат. Конфигурацияга тийүүдөн мурун кардардын журналын жазып алыңыз, биринчи абал сакталсын. Ар бир аракетте бир катмарды өзгөртүңүз, кийинки натыйжа белгилүү өзгөрмөгө таандык болсун. Порт текшергич жана браузер толук ырааттуулук эмес, жарым-жартылай байкоолор, жана экөөнүн эч бири кардардын өз отчетун алмаштырбайт. Эки адаттын тең наркы жок, жана экөө тең иликтөөнү кыскартат.

Сертификат маселеси жана жеткиликтүүлүк маселеси бир себептен улам өзүнчө документтелген.

Чыныгы кардар менен кайра сынаңыз, анан ичке карай жылыңыз

Так оңдоо ордуна келгенден кийин браузер өтмөгү менен эмес, чыныгы SSTP кардары жана чыныгы профил менен кайра аракет кылыңыз.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Эгер сессия туташып, ресурстар дагы эле иштен чыкса, туннель мындан ары шектүү эмес: маршруттоо, DNS жана кызматтарга жетүүгө өтүңүз. Бул башка далилдери бар башка иликтөө. Иштеп жаткан TLS жана аутентификация баскычтарын сактоо анын биринчисинин кайталанышына айланышына жол бербейт. Ийгиликсиз болгон баскычты билетке жазыңыз, болбосо кийинки адам кайрадан жогорудан баштайт.