443 prievadas atsako, SSTP vis tiek nepavyksta: kuri stadija sugedo?

Užbaigti TCP rankos paspaudimą į 443 prievadą, kai tunelis niekada nekuriamas, įrodo vieną dalyką, ir tai mažas dalykas. Kažkas klausosi ir pasirengęs priimti ryšį tuo adresu. Tai nenustato paslaugos, sertifikato, kuris bus pateiktas, ar to, kas nutinka po pirmųjų baitų.

Tarp to rankos paspaudimo ir veikiančio tunelio yra keturios stadijos, ir kiekviena sukuria skirtingą klaidą.

Atidarytas prievadas apibūdina tik vieną sluoksnį

Priimti TCP ryšį reiškia, kad procesas valdo lizdą ir kelias leidžia rankos paspaudimą. Tai nieko nesako apie tai, ar tas procesas yra SSTP serveris, ar jis turi galiojantį sertifikatą profilio pavadinimui, ar jis autorizuos jūsų paskyrą. To paties adreso interneto serveris puikiai atsako į rankos paspaudimą ir tada į jūsų SSTP užklausą atsako HTTP klaida. Viskas virš to rankos paspaudimo lieka neišbandyta.

Prievado testą traktuokite kaip pigiausią įmanomą filtrą, o ne kaip nuosprendį. Jo vertė yra ta, kad jis pašalina visą gedimų kategoriją, o ne tai, kad patvirtina viską virš jo.

Šių dviejų sumaišymas yra priežastis, kodėl žmonės perinstaliuoja klientus po testo, kuris niekada neištyrė tikrosios kliento problemos.

Atskirkite keturias stadijas įrodymais

Stadijos yra transporto pasiekiamumas, TLS patvirtinimas, SSTP mainai per HTTPS ir PPP autentifikavimas tunelio viduje. Kelias, kuris praeina pirmąją ir nepavyksta ketvirtojoje, reikalauja prisijungimo duomenų taisymo; tas, kuris nepavyksta antrojoje, reikalauja sertifikato arba pavadinimo taisymo. Šie taisymai neturi nieko bendra, o netinkamo pasirinkimas iššvaisto triktį.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Trečiąją komandą verta atidžiai perskaityti. 200 iš paprasto interneto puslapio pasako, kad yra interneto paslauga; jis nepasako, kad SSTP užklausa bus suprasta. 404 iš to paties adreso yra lygiai taip pat neinformatyvus apie VPN. Tik kliento žurnalas pasako, kurią iš keturių stadijų jis pasiekė.

Atkreipkite dėmesį, kokį pavadinimą naudojo kiekviena komanda. Sertifikatas parenkamas pagal siunčiamą pavadinimą, todėl profilio ir testo neatitikimas yra jūsų paties įvestas neatitikimas. To pavadinimo užrašymas šalia rezultato vėliau išvengia painiavos.

Skaitykite dalinę sėkmę teisinga kryptimi

Tarpininkas gali leisti įprastą naršymą ir atmesti vėlesnius mainus, todėl tarpinė, kuri veikia svetainėms, vis tiek gali nepavykti tuneliui. Tas pats modelis pasirodo, kai sertifikatas galioja naršyklės pavadinimui, bet ne profilyje sukonfigūruotam pavadinimui: naršyklė patenkinta, o klientas ne, ir abu teisūs dėl to, ką patikrino.

Laikykite serverio patvirtinimą įjungtą, kol tai diagnozuojate. Jo išjungimas paverčia sertifikato neatitikimą sėkmingu rankos paspaudimu ir paslepia vienintelį įrodymą, kuris būtų paaiškinęs gedimą.

Jei tas pats profilis veikia iš kito tinklo, skirtumas priklauso nuo kelio. Tai susiaurina paiešką iki tarpininkų, nepasakydamas kurio, ir tai vis dar naudingas žingsnis pirmyn. Užsirašykite naudotą tinklą, nes palyginimas be jo yra bevertis.

Tada išbandykite programą, o ne tik sesiją

Kai sesija egzistuoja, patikrinkite numatytą maršrutą, vardų sprendimą ir paslaugos leidimą iš kliento, kuriam jų reikia. Prisijungęs tunelis vis tiek gali turėti trūkstamą persiuntimą tolimoje pusėje arba grįžimo maršrutą, kurio niekada nebuvo, ir tie gedimai laukiančiam žmogui atrodo lygiai kaip programos problema.

Laikykite kiekvieną išvadą susietą su stadija, kuri ją sukūrė. Pavadinti atidarytą prievadą veikiančiu VPN yra būdas, kuriuo penkių minučių sertifikato patikra tampa diena programinės įrangos perinstaliavimo.