Kokius protokolus šis viešas VPN mazgas iš tikrųjų siūlo?
Tai, kad serverio programinė įranga palaiko protokolą, nereiškia, kad šis mazgas jį įjungė. Patikrinkite galinį tašką, profilį ir etapą, kuris iš tikrųjų nepavyksta.
Programinė įranga jį palaiko, todėl mazgas jį siūlo. Ši išvada pakankamai dažnai klaidinga, kad būtų taisyklė: SoftEther diegimas gali įjungti bet kurį suderinamų prisijungimo būdų poaibį, o viešas mazgas yra diegimas su savininku ir konfigūracija. Su kuo galite prisijungti, priklauso nuo to mazgo, o ne nuo projekto, kurį jis vykdo, funkcijų sąrašo. Būtent šių dviejų tarpas yra vieta, kurioje iš tikrųjų gyvena dauguma „protokolas sugedęs“ bilietų.
Ką projekto sąrašas iš tikrųjų žada
Projekto protokolų funkcijos apibūdina, ką serveris gali. Tam tikras mazgas įjungia kai kuriuos iš tų klausytojų, o kitų ne, ir operatorius gali pakeisti tą rinkinį neliesdamas programinės įrangos versijos. Todėl du tos pačios versijos mazgai elgiasi skirtingai, o profilis, kuris veikia prieš vieną, nieko neįrodo apie kitą tikslą. Renkantis, kur prisijungti, paties mazgo sąrašas viršija projekto puslapį.
Sąrašą skaitykite kaip penkis laukus, o ne kaip meniu: galinis taškas, prievadas, transportas, protokolų šeima ir autentifikavimo būdas. Viešas mazgas, kuris reklamuoja SSTP jums pasakė apie klausytoją prievade; jis nepasakė, kokį sertifikatą pateikia ar ar jūsų paskyra ten veikia. Tų penkių laukų palyginimas su jūsų profiliu greitesnis už bet kokį kliento perdiegimą, ir jis sukuria rašytinį lūkestį, kurį vėliau galite patikrinti.
Suderinkite profilį su galiniu tašku, kurį jis nurodo
Natūralus SoftEther įrašas automatiškai nėra OpenVPN konfigūracija, net kai abu pasirodo viename teikėjo puslapyje po viena antrašte. Kai mazgas skelbia ir TCP, ir UDP klausytoją OpenVPN, laikykite juos dviem galiniais taškais: profilis, pakeistas iš vieno į kitą, nurodo klausytoją, kurio niekas neįjungė. Transporto žymė faile yra adreso dalis, o ne kosmetinis nustatymas.
Tai, kad klientas priima importuotą failą, įrodo, kad failas išanalizuojamas. Tai nieko nesako apie tai, ar kitame gale laukia nuotolinis klausytojas, todėl pirmasis prisijungimo bandymas yra tikrasis testas. Palyginkite profilio remote eilutę su mazgo skelbiamu mazgu ir prievadu, prieš kaltindami protokolą.
Ištirkite etapą, kuris nepavyksta
Mazgas, kuris atsako į žiniatinklio srautą, vis tiek gali neturėti numatytos VPN paslaugos, o mazgas, kuris atmeta vieną protokolą, nebūtinai yra išjungtas visiems. Šios dvi klaidos tą patį popietę siunčia žmones priešingomis kryptimis. Vienas vejasi ugniasienę, kuri yra tvarkinga; kitas perdiegia klientą, kuris niekada nebuvo problema. Ištirkite kiekvieną kelią atskirai, kad atsakymas aprašytų vieną klausytoją, o ne visą mazgą.
Šie penki patikrinimai apima įprastus viešų mazgų metodus. Vykdykite juos iš to paties tinklo, kurį naudoja klientas, nes filtruojamas prievadas iš toli atrodo lygiai taip pat kaip trūkstamas klausytojas.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Rezultatas | Etapas | Ką tai atmeta |
|---|---|---|
| Ryšys atmestas arba baigėsi laikas | Transportas | Klausytojas neegzistuoja, filtruojamas arba neteisingas prievadas |
| TLS rankos paspaudimo arba tapatybės klaida | Sertifikatas | Protokolo prieinamumas; klausytojas atsakė |
| AUTH_FAILED arba paskyros atmetimas | Autentifikavimas | Galinis taškas; problema yra prisijungimo duomenyse |
| UDP 500 ir 4500 tyli | IPsec derybos | ESP ir L2TP yra blokuojami prieš autentifikavimą |
Priskirkite kiekvieną pastebėtą klaidą jos eilutei, prieš ką nors keisdami. TLS tapatybės klaida įrodo, kad klausytojas egzistuoja, todėl profilio perrašymas į kitą protokolą atmestų veikiantį įrodymą. Atmestas ryšys įrodo tik tai, kad šis prievadas neatsakė, o tai yra daug siauresnis teiginys nei „mazgas nepalaiko OpenVPN“.
Išsaugokite klaidą, prieš ką nors keisdami
Užrašykite tikslų rezultatą: laiko pabaiga, sertifikato tapatybės klaida, paskyros atmetimas ir atmetimas programos lygmeniu yra keturi skirtingi rezultatai. Tik pirmasis yra apie neprieinamą protokolą, o tik paskutinis yra apie leidimą po sėkmingo prisijungimo. Kliento atstatymas ar protokolų keitimas sunaikina tą skirtumą, nes kita klaida ateina su kita istorija ir be bazinės linijos palyginimui.
Nesilpninkite tikrinimo, kad nesuderinamas profilis atrodytų veikiantis. Išjungtas sertifikato tikrinimas aiškią tapatybės klaidą paverčia ryšiu su tuo, ko neketinote pasiekti, o gauta sėkmė yra blogesnė už pradinę klaidą, nes ji paslepia, kuris etapas buvo neteisingas.
Tikrinkite iš naujo kiekvienam mazgui, kiekvieną kartą
Natūralios SSL, OpenVPN, L2TP/IPsec ir SSTP parinktys viešų mazgų sąraše apibūdina to mazgo konfigūraciją tuo momentu. Ta pati programinė įranga kitur gali pateikti kitą rinkinį, o teikėjas gali atšaukti klausytoją tarp jūsų žymės ir kito bandymo. Senos pastabos apibūdina senus diegimus.
Užrašykite patikrintą profilį su jo galiniu tašku ir metodu, tada pakartokite tyrimą, kai mazgas pasikeis arba ryšys pradės nepavyksti. SoftEther protokolo specifikacija yra nuoroda į tai, ką programinė įranga gali; paties mazgo sąrašas yra nuoroda į tai, ką jis daro. Laikykite du dokumentus atskirai ir diagnozė taps trumpesnė.