SSTP Linux vidē neizdodas pirms pieteikšanās? Pārbaudiet izpildes daļas

Jūs instalējat SSTP spraudni, tīkla redaktorā parādās radio poga, jūs aizpildāt vārteju un lietotājvārdu, un profils neizdodas ar vispārīgu kļūdu, pirms tas vispār prasa paroli. Šajā secībā nav nekā neparasta, un tajā nekas nepierāda, ka tuneļa programmatūra ir instalēta. SSTP savienojums tiek salikts no daļām, kas tiek piegādātas atsevišķi: VPN spraudnis, ko NetworkManager var palaist, SSTP klienta programma, kas pārvalda TLS un PPP sesiju, PPP dēmons zem tās, un noslēpumu krātuve, kuru savienojumam ir atļauts lasīt.

Ko izvēlnes vienums pievieno un ko ne

Spraudnis sniedz pakalpojuma aprakstu, kas NetworkManager pasaka, kā to palaist, un lielākajā daļā distribūciju nelielu redaktoru, kas zīmē veidlapu. Tas ir viss izvēlnes vienuma apjoms. Klienta programma nāk no cita avota pakotnes, un spraudņa paša README tieši saka šo sadalījumu: tas ir spraudnis, nevis klients.

Tad klientam vajag PPP, jo SSTP pārvadā PPP sesiju TLS savienojuma iekšienē. Bez pppd tunelis var pabeigt TLS rokasspiedienu un tomēr nomirt pirmajā vadības kadrā, kas izskatās pēc akreditācijas datu problēmas un nav. Debian un Ubuntu daļas nāk kā network-manager-sstp, sstp-client un ppp, un tikai pirmās instalēšana ir visbiežākais iemesls, kāpēc veidlapa pieņem katru lauku, bet savienojums nekad nebeidzas.

Darbvirsmas izvēle pievieno vēl vienu sadalījumu. Plasma rediģē profilus caur plasma-nm, kam vajadzīga sava SSTP sastāvdaļa un kas lasa to pašu pakalpojuma aprakstu, tāpēc redaktors bez SSTP ieraksta un CLI, kas labi veido profilus, ir trūkstoša redaktora puse, nevis salauzta izpildes vide.

Izlasiet pirmo neizdevušos posmu, pirms ko vien pārinstalējat

Neizdevies SSTP mēģinājums iet cauri posmiem fiksētā secībā, un posms, kas neizdevās, pasaka, uz kuru sastāvdaļu skatīties.

Spraudņa palaišana ir pirmais, un neveiksme tur rada ziņojumu par VPN pakalpojumu, nevis par serveri. Tālāk nāk TCP savienojums uz 443. portu; atteikums vai taimauts šeit ir sasniedzamības problēma, nevis TLS. Tad TLS rokasspiediens un servera identitātes pārbaude, pēc tam PPP sarunas un konta autentifikācija, un visbeidzot adrešu piešķiršana un maršruti. Vērojiet journalctl -f -u NetworkManager, kad vienreiz aktivizējat profilu, un lasiet pirmo konkrēto rindu, nevis pēdējo vispārīgo.

Šī secība izskaidro biežu nepareizu lasīšanu. Sūdzība par sertifikātu tiek ziņota pirms jebkuru akreditācijas datu nosūtīšanas, tāpēc paroles maiņa nevar palīdzēt; PPP autentifikācijas atteikums nāk pēc veiksmīgas rokasspiediena, tāpēc arī sertifikāta nomaiņa nepalīdz. Paturiet pirmo kļūdu un tās posmu, un jums būs diagnoze, nevis simptoms.

Sertifikāta uzticēšanās un pieteikšanās kontā ir divi atsevišķi vārti

Rokasspiediens pārbauda, ka serveris ir tas, kuru gribējāt sasniegt, izmantojot jūsu konfigurēto izdevēju un nosaukumu. Tikai pēc tam PPP slānis piedāvā jūsu lietotājvārdu un paroli vārtejas autentifikācijas metodei. Tātad divas neatkarīgas pārbaudes, vērtētas fiksētā secībā, ar atsevišķiem iestatījumiem katrai. Nekas, kas ierakstīts paroles laukā, nevar ietekmēt pirmo.

Profils, kas uzticas nepareizajam izdevējam, neizdodas pirmajos vārtos ar identitātes kļūdu. Profils, kas tam uzticas pareizi, bet glabā novecojušu paroli, neizdodas otrajos ar autentifikācijas atteikumu. Abi izskatās kā VPN, kas neizveidos savienojumu, un neviens netiek salabots ar otra līdzekli.

Iegūstiet gaidāmo izdevēju un servera nosaukumu no tā, kas pārvalda vārteju, nevis miniet redaktora noklusējuma vērtības, un pierakstiet nepieciešamo autentifikācijas metodi. Ja organizācijai vajag metodi, ko spraudnis nevar izteikt, godīgā atbilde ir apstiprināts klients, kas to var, nevis profils ar izslēgtu validāciju, lai kļūda pazustu.

Lai viens īpašnieks pārvalda profilu un noslēpumus

Kad profils pastāv, aktivizējiet to caur NetworkManager un ļaujiet tam pārvaldniekam pārvaldīt iegūtos maršrutus un atrisinātāja izmaiņas. Otra neatkarīga SSTP klienta palaišana, kamēr NetworkManager jau vada savienojumu, dod divus maršrutu komplektus, divas DNS konfigurācijas un atkļūdošanas sesiju bez viena patiesības avota.

Noslēpumiem arī ir īpašnieks. Savienojums, kas atzīmēts sistēmas līmeņa lietošanai, glabā akreditācijas datus citādi nekā jūsu lietotāja sesijai ierobežotais, un ar roku atslēgas failā izveidots profils var būt nelasāms noslēpumu aģentam, kas sagaida paroli sniegt interaktīvi. Pārbaudiet, kādu kontekstu profils sagaida, pirms atkārtoti ievadāt paroli, kas nekad nav bijusi problēma. Tā paša profila aktivizēšana no termināļa ar nmcli ir ātrākais tests, jo uzvedne, kas nekad neparādās, pasaka, ka aģentam jau nebija ko piedāvāt.

Pārbaudiet tuneli, maršrutus un atrisinātāju atsevišķi

Savienots indikators tikai apgalvo, ka saite ir pacēlusies. Pārbaudiet galamērķi, kas jums patiešām vajadzīgs, to nesošo maršrutu un izmantoto atrisinātāju, pa vienam; katrs var būt nepareizs, kamēr pārējie divi ir kārtībā.

Neizdevušamies mēģinājumam pierakstiet katras sastāvdaļas versiju un attīrīto kļūdas tekstu. Kopīgojiet tos, nevis visu profilu, jo profils var saturēt iepriekš kopīgoto noslēpumu un jūsu glabātos akreditācijas datus.

Visbeidzot, atvienojieties un pievienojieties vēlreiz, pēc tam vienreiz pārstartējiet. Ja profils darbojas tikai pirmajā mēģinājumā, problēma ir noslēpumu apstrādē vai maršrutu īpašumtiesībās, un abas ir lētāk salabot tagad nekā darba dienas vidū.