SSTP-Timeout oder Zertifikatsfehler: wéi ee se ënnerscheet

Eng SSTP-Verbindung fällt op zwou Manéieren aus, déi vum Stull vum Benotzer gläich ausgesinn, an d’Reparatur fir jiddefalls läit op enger anerer Schicht. En Timeout heescht, datt en erfuerderlechen Austausch ni fäerdeg ginn ass; e Zertifikatsfehler heescht, datt Identitéitsmaterial ukomm ass an ofgeleent gouf. Wann Dir dat Zweet wéi dat Éischt behandelt, gitt Dir op Firewallen a Passwierder, déi ni de Problem waren. De Beweis, dee se ënnerscheet, steet am Client sengem eegene Log, wann Dir en liest, ier Dir eppes ännert.

Zwee Feeler, zwee verschidden Austausch

SSTP dréit en Tunnel an enger Sitzung an HTTPS-Form, dofir iwwerlieft en Netzwierker, déi näischt ausser 443 erlaben. De Client mécht en TLS-Handshake fäerdeg, schéckt eng HTTP-Ufro mat enger protokollspezifescher Method, an duerno leeft den Tunnel an dësem Stroum. E Feeler bei engem vun dëse Schrëtt stoppt d’Verbindung, a just déi spéider betreffen Umellungsdonnéeën.

Déi Reiheet ass d’Diagnos. Wann den TLS-Handshake ni fäerdeg gëtt, goufen keng Umellungsdonnéeë geschéckt, also kann e Passwuert-Reset net hëllefen. Wann den Handshake fäerdeg gëtt an duerno hänkt, gouf d’Identitéit ugeholl an eppes am Wee vun der Ufro huet se ofgeleent. Wann den Handshake mat enger Validéierungsmessage feelt, huet de Server geäntwert an dem Client huet net gefall, wat en héieren huet. Dräi Resultater, dräi Schichten.

D’Loglinn nennt normalerweis, a wéien vun den dräi Dir sidd, dofir ass et derwäert, se virun der éischter Ännerung festzehalen.

En Timeout heescht, datt eng Phase ni fäerdeg ginn ass

Fänkt mat Nummopléisung an TCP-Erreechbarkeet un, well en Timeout do genau esou ausgesäit wéi en Timeout méi spéit. En Hafenprüfer, deen 443 op mellt, beweist just, datt en Nolauschterer eng Verbindung ugeholl huet, an näischt drëwwer eraus.

Den nächsten Verdächtegen ass de Wee an net den Host. Proxien an applikatiounsbewosst Firewallen ofleenen heiansdo d’Ufromethod, déi SSTP benotzt, oder verwerfen e Stroum, dee Stonnen op bleift, an déi zwee Verhalen ausgesinn aus Clientssicht wéi en Timeout. Eng gewéinlech HTTPS-Säit vum selwechten Host luede perfekt, während d’Tunnelmethod ofgeleent gëtt, dofir beweist d’Browsen op den Endpunkt esou wéineg. Test aus engem Netzwierk ouni de Proxy, fir déi zwee Fäll ze trennen.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

En Timeout virun enger Äntwert vum Géigendeel seet näischt iwwer de Kont aus, an d’Passwuert zu deem Zäitpunkt z’änneren füügt just eng Variabel dobäi.

En Zertifikatsfehler heescht, datt d’Identitéit ofgeleent gouf

Hei huet de Server tatsächlech geäntwert, also funktionéiert d’Netzwierk an d’Fro geet op d’Identitéit. Vergläicht den Numm, mat deem de Client wielt, mat den Nimm, déi den Zertifikat tatsächlech behaapt, a préift dann Gültegkeetsdatumer an d’Ausstellkette.

Eng privat CA, där de Client net vertraut, produzéiert déiselwecht Klass vu Feeler wéi en ofgelafenen Zertifikat, an dat selwecht mécht eng Auer, déi Stonnen falsch geet. Déi ro Adress ze wielen erstellt eng nei Onstëmmegkeet, well en Zertifikat Nimm behaapt an net Adressen. A menger verwaltener Deploiement huelt d’vorgesi Vertrauenskonfiguratioun vun hirem Administrateur, amplaz eng Ersatzwuerzel unzehuelen, déi eng Feelsäit ubitt. D’Validéierung bleift un, während Dir d’Ursaach reparéiert.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Haalt déi erfollegräich TLS-Phase onberéiert, wann se passéiert ass, well se spéider zréckzehuelen verstoppt, wéi eng Ännerung den Tunnel tatsächlech reparéiert huet.

Wou déi zwee verwiesselt ginn

Béid Feeler erschéngen als eng Verbindung, déi net eropkënnt, a béid kommen, nodeem de Benotzer eppes onverbonnenes geännert huet. Dee Zufall ass et, deen déi falsch Reparatur eng Zäitlaang plausibel ausgesäit.

Zwou Gewunnechten halen se ausereneen. Halt de Client-Log fest, ier Dir d’Konfiguratioun beréiert, sou datt den éischten Zoustand erhalen bleift. Ännert eng Schicht pro Versuch, sou datt dat nächst Resultat zu enger bekannter Variabel gehéiert. En Hafenprüfer an e Browser sinn deelweis Observatiounen an net déi komplett Reiefolleg, an keen dovun ersetzt dem Client säi eege Bericht. Keng vun de Gewunnechte kascht eppes, a béid verkierzen d’Enquête.

D’Zertifikatsfro an d’Erreechbarkeetsfro sinn aus engem Grond getrennt dokumentéiert.

Test nach eng Kéier mam richtegen Client, gitt dann no bannen

Wann déi konkret Korrektur sëtzt, probéiert nach eng Kéier mam tatsächlechen SSTP-Client an dem richtege Profil, net mat engem Browser-Tab.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Wann d’Sitzung verbënnt a Ressourcen nach ëmmer feelen, ass den Tunnel net méi verdächteg: gitt op Routing, DNS an Zougang zu Servicer. Dat ass eng aner Enquête mat anere Beweiser. D’Behalen vun den fonctionéierenden TLS- an Authentifikatiounsphasen verhënnert, datt et eng Widderhuelung vun der éischter gëtt. Schreift d’Phase, déi gefeelt huet, an den Ticket, soss fänkt déi nächst Persoun erëm uewen un.