SSTP-ийн хугацаа дуусах эсвэл гэрчилгээний алдаа: тэдгээрийг хэрхэн ялгах вэ

SSTP холболт хэрэглэгчийн сандалаас ижил харагдах хоёр аргаар бүтэлгүйтдэг бөгөөд тус бүрийн засвар өөр давхаргад байдаг. Хугацаа дуусах нь шаардлагатай солилцоо хэзээ ч дуусаагүй гэсэн үг; гэрчилгээний алдаа нь таних тэмдгийн материал ирж, татгалзагдсан гэсэн үг. Хоёрдахьыг эхнийх мэт үзвэл хэзээ ч асуудал байгаагүй галт хана, нууц үг рүү явна. Ялгах нотолгоо нь үйлчлүүлэгчийн өөрийн бүртгэлд байгаа бөгөөд ямар нэг зүйлийг өөрчлөхөөс өмнө уншвал мэдэгдэнэ.

Хоёр бүтэлгүйтэл, хоёр өөр солилцоо

SSTP нь HTTPS хэлбэрийн сессийн дотор хонгил зөөдөг тул 443-аас өөр зүйлийг зөвшөөрдөггүй сүлжээнд ч амьдардаг. Үйлчлүүлэгч TLS гар барилтыг дуусгаж, протоколд тохирсон аргаар HTTP хүсэлт илгээж, дараа нь хонгил тэр урсгалын дотор ажиллана. Эдгээр алхмын аль нэгэнд бүтэлгүйтэл холболтыг зогсоодог бөгөөд зөвхөн сүүлийн алхмууд л нэвтрэх мэдээлэлтэй холбоотой.

Тэр дараалал нь диагноз мөн. Хэрэв TLS гар барилт хэзээ ч дуусахгүй бол нэвтрэх мэдээлэл илгээгдээгүй тул нууц үг шинэчлэх нь туслахгүй. Хэрэв гар барилт дуусаад дараа нь гацвал таних тэмдэг хүлээн авсан бөгөөд хүсэлтийн замд ямар нэг зүйл түүнийг татгалзсан. Хэрэв гар барилт баталгаажуулалтын мэдэгдэлтэй бүтэлгүйтвэл сервер хариу өгсөн бөгөөд үйлчлүүлэгчид сонссон зүйл нь таалагдаагүй. Гурван үр дүн, гурван давхарга.

Бүртгэлийн мөр нь ихэвчлэн гурвын алинд байгааг тань хэлдэг тул эхний өөрчлөлтөөс өмнө түүнийг тэмдэглэх нь зүйтэй.

Хугацаа дуусах нь үе шат хэзээ ч дуусаагүй гэсэн үг

Нэрийн шийдэл болон TCP хүртээмжээс эхэл, учир нь тэндхийн хугацаа дуусах нь дараагийнхтай яг ижил харагдана. 443 нээлттэй гэж мэдээлдэг портын шалгагч нь зөвхөн сонсогч холболт хүлээн авсныг нотолдог, үүнээс цааш юу ч биш.

Дараагийн сэжигтэн бол хост биш, зам. Прокси болон програмыг мэддэг галт хананууд заримдаа SSTP-ийн ашигладаг хүсэлтийн аргыг татгалздаг, эсвэл цаг хагас нээлттэй үлддэг урсгалыг унагадаг бөгөөд хоёр зан төлөв нь үйлчлүүлэгчийн талаас хугацаа дуусах мэт харагдана. Мөн хост өөрөө үйлчилдэг энгийн HTTPS хуудас төгс ачаалагддаг ч хонгилын арга татгалзагддаг тул төгсгөлийн цэг рүү хөтөчөөр орох нь маш бага зүйлийг нотолдог. Эдгээр хоёр тохиолдлыг ялгахын тулд проксигүй сүлжээнээс туршаарай.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Түншийн ямар ч хариунаас өмнөх хугацаа дуусах нь бүртгэлийн тухай юу ч хэлдэггүй бөгөөд тэр мөчид нууц үг солих нь зөвхөн нэг хувьсагч нэмдэг.

Гэрчилгээний алдаа нь таних тэмдэг татгалзагдсаныг илтгэнэ

Энд сервер үнэхээр хариу өгсөн тул сүлжээ ажиллаж байгаа бөгөөд асуулт таних тэмдэг рүү шилждэг. Үйлчлүүлэгчийн залгах нэрийг гэрчилгээ үнэхээр баталж буй нэрстэй харьцуулж, дараа нь хүчинтэй хугацаа, олгогчийн хэлхээг шалгаарай.

Үйлчлүүлэгчийн итгэдэггүй хувийн CA нь хугацаа дууссан гэрчилгээний адил алдааны анги үүсгэдэг бөгөөд хэдэн цагаар буруу явсан цаг ч мөн адил. Түүхий хаяг руу залгах нь шинэ зөрүү үүсгэдэг, учир нь гэрчилгээ нэрсийг баталдаг, хаягийг биш. Удирдлагатай байршуулалтад алдааны хуудасны санал болгосон орлуулагч үндсийг хүлээн авахын оронд түүний администратороос төлөвлөсөн итгэлцлийн тохиргоог аваарай. Шалгалт нь шалтгааныг засах хооронд асаалттай хэвээр байна.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Амжилттай TLS үе шатыг дамжсаны дараа хөндөхгүй хадгал, учир нь дараа нь буцаах нь хонгилыг үнэхээр аль өөрчлөлт зассныг нуудаг.

Энэ хоёр хаана андуурдаг вэ

Хоёр бүтэлгүйтэл нь босохгүй холболт хэлбэрээр гарч ирдэг бөгөөд хоёулаа хэрэглэгч хамааралгүй зүйлийг өөрчилсний дараа ирдэг. Яг тэр давхцал нь буруу засварыг хэсэг хугацаанд үнэмшилтэй харагдуулдаг.

Хоёр дадал тэдгээрийг тусгаарладаг. Тохиргоог хөндөхөөс өмнө үйлчлүүлэгчийн бүртгэлийг тэмдэглэ, ингэснээр эхний төлөв хадгалагдана. Оролдлого бүрт нэг давхаргыг өөрчил, дараагийн үр дүн мэдэгдэж буй хувьсагчид хамаарах болно. Портын шалгагч, хөтөч нь бүрэн дараалал биш, хэсэгчилсэн ажиглалт бөгөөд аль нь ч үйлчлүүлэгчийн өөрийн тайланг орлохгүй. Хоёр дадлын аль нь ч зардалгүй бөгөөд хоёулаа мөрдөн шалгалтыг богиносгодог.

Гэрчилгээний асуудал болон хүртээмжийн асуудал нэг шалтгаанаар тусдаа баримтлагдсан.

Жинхэнэ үйлчлүүлэгчээр дахин туршиж, дараа нь дотогш шилж

Тодорхой засвар байрандаа орсны дараа хөтөчийн таб биш, бодит SSTP үйлчлүүлэгч, жинхэнэ профайлаар дахин оролдоорой.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Хэрэв сесс холбогдож, нөөцүүд ажиллахгүй хэвээр байвал хонгил цаашид сэжигтэн биш: чиглүүлэлт, DNS, үйлчилгээний хандалт руу шилж. Энэ нь өөр нотолгоотой өөр мөрдөн шалгалт. Ажиллаж буй TLS болон танилтын үе шатыг хадгалах нь эхнийхийн давталт болохоос сэргийлнэ. Бүтэлгүйтсэн үе шатыг тасалбарт бич, эс бөгөөс дараагийн хүн дахин дээрээс эхэлнэ.