SSTP taimauta vai sertifikāta kļūda: kā tos atšķirt

SSTP savienojums neizdodas divos veidos, kas no lietotāja krēsla izskatās vienādi, un katra labojums atrodas citā slānī. Taimauts nozīmē, ka nepieciešamā apmaiņa nekad netika pabeigta; sertifikāta kļūda nozīmē, ka identitātes materiāls ieradās un tika noraidīts. Ja otro uzlūkojat kā pirmo, nonākat pie ugunsmūriem un parolēm, kas nekad nav bijušas problēma. Atšķirošais pierādījums ir paša klienta žurnālā, ja to izlasāt pirms kaut kā maiņas.

Divi neveiksmes gadījumi, divas atšķirīgas apmaiņas

SSTP pārvadā tuneli HTTPS formas sesijas iekšienē, tāpēc tas iztur tīklos, kas atļauj neko citu kā 443. Klients pabeidz TLS rokasspiedienu, nosūta HTTP pieprasījumu ar protokolam raksturīgu metodi, un tad tunelis darbojas šajā plūsmā. Neveiksme jebkurā no šiem soļiem aptur savienojumu, un tikai vēlākie skar pieteikšanās datus.

Šī secība ir diagnoze. Ja TLS rokasspiediens nekad netiek pabeigts, pieteikšanās dati netika nosūtīti, tāpēc paroles atiestatīšana nevar palīdzēt. Ja rokasspiediens tiek pabeigts un pēc tam iestājas, identitāte tika pieņemta un kaut kas pieprasījuma ceļā to noraidīja. Ja rokasspiediens neizdodas ar validācijas ziņojumu, serveris atbildēja un klientam nepatika tas, ko tas dzirdēja. Trīs iznākumi, trīs slāņi.

Žurnāla rinda parasti nosauc, kurā no trim jūs esat, tāpēc to ir vērts fiksēt pirms pirmās izmaiņas.

Taimauts nozīmē, ka posms nekad netika pabeigts

Sāciet ar nosaukumu atrisināšanu un TCP sasniedzamību, jo taimauts tur izskatās identiski vēlākam taimautam. Ostas pārbaudītājs, kas ziņo, ka 443 ir atvērta, pierāda tikai to, ka klausītājs pieņēma savienojumu, un neko vairāk.

Nākamais aizdomās turamais ir ceļš, nevis resursdators. Starpnieki un lietojumprogrammu izprotoši ugunsmūri dažkārt noraida pieprasījuma metodi, ko izmanto SSTP, vai nomet plūsmu, kas paliek atvērta stundām ilgi, un abas uzvedības no klienta puses izskatās kā taimauts. Parasta HTTPS lapa, ko pasniedz tas pats resursdators, ielādējas nevainojami, kamēr tuneļa metode tiek noraidīta, tāpēc pārlūkošana uz galapunktu pierāda tik maz. Pārbaudiet no tīkla bez starpnieka, lai šos divus gadījumus atdalītu.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Taimauts pirms jebkādas partnera atbildes neko neizsaka par kontu, un paroles maiņa tajā brīdī tikai pievieno mainīgo.

Sertifikāta kļūda nozīmē, ka identitāte tika noraidīta

Šeit serveris patiešām atbildēja, tāpēc tīkls darbojas un jautājums pāriet uz identitāti. Salīdziniet nosaukumu, uz kuru klients zvana, ar nosaukumiem, ko sertifikāts patiešām apgalvo, pēc tam pārbaudiet derīguma datumus un izdevēja ķēdi.

Privāts CA, kuram klients neuzticas, rada to pašu kļūdu klasi kā beidzies sertifikāts, un tāpat arī pulkstenis, kas kavējas stundām. Zvanīšana uz neapstrādātu adresi rada jaunu neatbilstību, jo sertifikāts apgalvo nosaukumus, nevis adreses. Pārvaldītā izvietošanā saņemiet paredzēto uzticēšanās konfigurāciju no tās administratora, nevis pieņemiet kļūdas lapas piedāvāto aizvietotājsakni. Validācija paliek ieslēgta, kamēr labojat cēloni.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Saglabājiet veiksmīgo TLS posmu neskartu, kad tas ir izturēts, jo tā atsaukšana vēlāk slēpj, kura izmaiņa tuneli patiešām salaboja.

Kur šie divi tiek sajaukti

Abas neveiksmes parādās kā savienojums, kas nepaceļas, un abas nāk pēc tam, kad lietotājs ir mainījis kaut ko nesaistītu. Tieši šī sakritība liek nepareizajam labojumam kādu laiku šķist ticamam.

Divi ieradumi tos tur atsevišķi. Fiksējiet klienta žurnālu pirms konfigurācijas aiztikšanas, lai pirmais stāvoklis saglabātos. Mainiet vienu slāni katrā mēģinājumā, lai nākamais rezultāts piederētu zināmam mainīgajam. Ostas pārbaudītājs un pārlūks ir daļēji novērojumi, nevis visa secība, un neviens no tiem neaizstāj paša klienta ziņojumu. Neviens ieradums neko nemaksā, un abi saīsina izmeklēšanu.

Sertifikāta jautājums un sasniedzamības jautājums ir dokumentēti atsevišķi iemesla dēļ.

Pārbaudiet vēlreiz ar īsto klientu, pēc tam virzieties uz iekšu

Kad konkrētais labojums ir vietā, mēģiniet vēlreiz ar faktisko SSTP klientu un īsto profilu, nevis ar pārlūka cilni.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Ja sesija savienojas un resursi joprojām neizdodas, tunelis vairs nav aizdomās turamais: pārejiet pie maršrutēšanas, DNS un piekļuves pakalpojumiem. Tas ir cits izmeklējums ar citiem pierādījumiem. Darbojošos TLS un autentifikācijas posmu saglabāšana neļauj tam kļūt par pirmā atkārtojumu. Ierakstiet biļetē posmu, kas neizdevās, citādi nākamais cilvēks atkal sāks no augšas.