Портата 443 одговара, SSTP сѐ уште не успева: која фаза се скрши?

Завршувањето на TCP ракувањето до портата 443 додека тунелот никогаш не се гради докажува една работа, и тоа е мала работа. Нешто слуша и е подготвено да прими врска на таа адреса. Тоа не ја идентификува услугата, сертификатот што ќе го претстави, ниту што се случува по првите бајти.

Помеѓу тоа ракување и работен тунел стојат четири фази, и секоја произведува различна грешка.

Отворената порта опишува само еден слој

Примањето TCP врска значи дека процес го поседува сокетот и патеката го дозволува ракувањето. Тоа не кажува ништо за тоа дали тој процес е SSTP сервер, дали има сертификат валиден за името во вашиот профил или дали ќе го авторизира вашиот профил. Веб-сервер на истата адреса совршено одговара на ракувањето и потоа одговара на вашето SSTP барање со HTTP грешка. Сѐ над тоа ракување останува непроверено.

Гледајте на тестот на портата како на најевтиниот можен филтер, а не како пресуда. Неговата вредност е што отстранува цела категорија откази, а не што потврдува сѐ над него.

Мешањето на двете е причината зошто луѓето ги преинсталираат клиентите по тест што никогаш не го испитал вистинскиот проблем на клиентот.

Одделете ги четирите фази со докази

Фазите се достапноста на транспортот, TLS валидацијата, SSTP размената преку HTTPS и PPP автентикацијата внатре во тунелот. Патека што ја поминува првата и паѓа на четвртата бара поправка на акредитиви; онаа што паѓа на втората бара поправка на сертификат или име. Овие поправки немаат ништо заедничко, и изборот на погрешната го троши прекинот.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Третата команда вреди внимателно да се прочита. 200 од обична веб-страница ви кажува дека има веб-услуга; не ви кажува дека SSTP барањето ќе биде разбрано. 404 од истата адреса е исто толку неинформативен за VPN. Само дневникот на клиентот ви кажува до која од четирите фази стигнал.

Забележете кое име го користела секоја команда. Сертификатот се избира според името што го праќате, така што несовпаѓањето меѓу профилот и тестот е несовпаѓање што самите сте го внеле. Запишувањето на тоа име покрај резултатот подоцна ја спречува забуната.

Читајте го делумниот успех во вистинската насока

Посредник може да дозволи обично прелистување и да ја одбие подоцнежната размена, поради што прокси што работи за веб-страници сѐ уште може да не успее за тунел. Истата шема се појавува кога сертификатот е валиден за име на прелистувач, но не за името конфигурирано во профилот: прелистувачот е задоволен, а клиентот не е, и двајцата се во право за она што го провериле.

Држете ја валидацијата на серверот вклучена додека го дијагностицирате ова. Нејзиното исклучување претвора несовпаѓање на сертификат во успешно ракување и го крие единствениот доказ што би го објаснил отказот.

Ако истиот профил работи од друга мрежа, разликата зависи од патеката. Тоа го стеснува пребарувањето на посредници без да каже кој, и сѐ уште е корисен чекор напред. Запишете ја мрежата што сте ја користеле, бидејќи споредбата е безвредна без неа.

Потоа тестирајте ја апликацијата, не само сесијата

Кога постои сесија, проверете ја предвидената рута, резолуцијата на имиња и дозволата за услугата од клиентот што ги бара. Поврзан тунел сѐ уште може да има пренос што недостасува на далечната страна или повратна рута што никогаш не постоела, и тие откази изгледаат точно како проблем со апликацијата за човекот што чека.

Држете го секој заклучок поврзан со фазата што го произвела. Да се нарече отворена порта работен VPN е начинот на кој петминутната проверка на сертификат станува ден преинсталирање на софтвер.