Kaip patikrinti, ar VPN klientas tikrai palaiko SSTP

Pavadinti produktą VPN klientu nieko nepasako apie tai, ar jis kalba SSTP, o 443 prievadas adrese įrodo dar mažiau. SSTP vykdo TLS per TCP 443, tada SSTP valdymo mainus, tada PPP pačiam ryšiui, o viršuje yra sertifikato patikra ir PPP autentifikavimo metodas. Klientas palaiko protokolą tik tada, kai nurodytas diegimas įdiegtoje versijoje atlieka kiekvieną iš tų sluoksnių pagal jūsų serverio reikalavimus. Atlikite toliau pateiktus patikrinimus iš eilės ir sustokite ties pirmuoju nepavykusiu, nes būtent jį verta spręsti.

Suderinkite diegimą, versiją ir platformą

Pradėkite nuo platformos, programos ir įdiegtos versijos, nes vienas gamintojo pavadinimas gali būti dviejų visiškai skirtingų diegimų pavadinimas. Integruoti VPN tipai ir trečiųjų šalių klientai nėra tas pats, o papildinys gali rodyti adapterio etiketę, kuri neaprašo po ja esančio protokolo. Dabartinio leidimo dokumentacija neaprašo versijos, kuri veikia jūsų akivaizdoje esančiame kompiuteryje. Perskaitykite konkrečiai versijai skirtą puslapį ir palyginkite jį su tuo, ką klientas praneša apie save.

Windows sistemoje tunelio tipas ateina iš platformos, o ne iš grafinės sąsajos, todėl klauskite platformos. Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress rodo Sstp, kai vietinis klientas bandys protokolą, o jungčių tipų žinynas jį įtraukia į integruotų tunelių tipus. Linux sistemoje vietinio SSTP kliento apskritai nėra, todėl kyla klausimas, ar atskiras diegimas, pavyzdžiui, sstpc iš paketo sstp-client, yra įdiegtas ir aktualus.

Prieš etiketę perskaitykite profilio formatą

Profiliai nėra keičiami, o jums duotas failas paprastai išsprendžia klausimą greičiau nei bet kuris funkcijų sąrašas. OpenVPN direktyvos, WireGuard raktai ir SSTP jungties nustatymai aprašo tris nesusijusius protokolus, ir joks importavimo dialogas vieno nepaverčia kitu. Bendras TCP 443 prievadas nieko neverčia, nes SSTP, OpenVPN per TLS ir įprasta HTTPS paslauga gali užimti tą patį prievadą ir neturėti nieko bendra virš jo.

Jei failas yra .ovpn arba WireGuard konfigūracija, atsakymas jau aiškus: iš to kliento nereikalaujama kalbėti SSTP. Importavus jį į klientą, kuris daro tik SSTP, nepavyksta jau profilio etape, gerokai prieš prasidedant bet kokioms protokolo deryboms.

Ko TLS neįrodo apie diegimą

Baigtas TLS rankos paspaudimas įrodo, kad serveris turi sertifikatą, ir nieko neįrodo apie tai, ar jūsų klientas pasitiki išdavėjo grandine, ar sutampa joje esantis vardas. Patikra turi pavykti prieš numatytą serverį, įskaitant bet kurią organizacijos valdomą privačią CA, o klientas, siūlantis praleisti sertifikato klaidas, pašalino patikrą, o ne įgijo protokolo palaikymą. Grandinės patikra ir vardo sutapimas yra du atskiri testai, o krūva, praeinanti vieną, gali nepraeiti kito. Abu priklauso priėmimo kriterijams, o ne trikčių šalinimo priedui.

Tada patvirtinkite PPP autentifikavimo metodą, nes diegimui su EAP-TLS reikia kliento, galinčio pateikti sertifikatą PPP viduje, o slaptažodžiu pagrįstam metodui reikia to mainų palaikymo. Serverio adresas ir slaptažodis neaprašo tikrojo organizacijos reikalavimo, ypač kai prieš jį yra antrasis veiksnys arba įrenginio patikra. Paklauskite, kokį metodą serveris reikalauja, prieš manydami, kad klientas gali jį atitikti.

Sekite sesiją keturiais etapais

Stebėkite, kaip ryšys kerta keturias ribas: TCP ir TLS iki serverio, SSTP valdymo mainai, PPP derybos ir tada išteklius, kurio jums tikrai reikia. Žurnalas, sustojantis po TLS, aprašo kitą gedimą nei tas, kuris sustoja PPP viduje, ir abu veda pas skirtingus atsakinguosius. Naršyklės įkeliamas prieglobos tinklalapis įrodo tik tai, kad kažkas atsakė 443 prievadu, ir tai yra dažniausiai pasitaikantis klaidingas teigiamas rezultatas šioje srityje. Jei tas puslapis įkeliamas, o klientas vis tiek nepavyksta, problema yra virš TLS ir žiniatinklio serveris nėra įtariamasis.

Pabaikite tikru privačiu ištekliumi ir vardo užklausa, nes sesija, kuri užmezgama ir nieko neperduoda, daugumoje būsenos langų atrodo taip pat kaip veikianti. Viena sėkminga užklausa į reikiamą išteklių išsprendžia klausimą, kurio piktograma negali.

Kai palaikymo nėra, keiskite planą

Jei klientas negali kalbėti SSTP, gaukite patvirtintą alternatyvą arba paprašykite serverio savininko protokolo, kurį palaiko abi pusės. Neatpažintų parinkčių trynimas, kol importavimas pavyks, sukuria profilį, kuris niekur neprisijungia, o tai lėtesnis kelias į tą pačią aklavietę. Iš nežinomo šaltinio gautas diegėjas, reklamuojantis visuotinį suderinamumą, prideda prie kompiuterio nepatvirtintą pasitikėjimo kelią ir dažnai pakeičia platformos klientą tuo, ko organizacija negali atnaujinti. Nė vienas žingsnis nėra pataisymas, ir abu sunkiau atšaukti nei pradinę problemą.

Suderinamumo klausimą nagrinėkite atskirai nuo našumo ir pabaigos taško pasirinkimo, nes netoliese esantis serveris yra bevertis, kai klientas negali kalbėti jo protokolu. Vėlavimo derinimas nepataiso etapo, kuris niekada nebaigiamas.