पोर्ट 443 उत्तर देतो, तरीही SSTP अयशस्वी होते: कोणता टप्पा तुटला?

टनेल कधीच तयार होत नाही असताना पोर्ट 443 वर TCP हस्तांदोलन पूर्ण होणे एक गोष्ट सिद्ध करते, आणि ती लहान गोष्ट आहे. त्या पत्त्यावर काहीतरी ऐकत आहे आणि कनेक्शन स्वीकारण्यास तयार आहे. ते सेवा, सादर होणारे प्रमाणपत्र किंवा पहिल्या बाइटनंतर काय होते हे ओळखत नाही.

त्या हस्तांदोलन आणि कार्यरत टनेलमध्ये चार टप्पे आहेत, आणि प्रत्येक वेगळी त्रुटी निर्माण करतो.

उघडा पोर्ट फक्त एकच स्तर वर्णन करतो

TCP कनेक्शन स्वीकारणे म्हणजे एक प्रक्रिया सॉकेटची मालक आहे आणि मार्ग हस्तांदोलनास परवानगी देतो. ती प्रक्रिया SSTP सर्व्हर आहे का, तिच्याकडे तुमच्या प्रोफाइलमधील नावासाठी वैध प्रमाणपत्र आहे का, किंवा ती तुमचे खाते अधिकृत करेल का, याबद्दल ते काहीच सांगत नाही. त्याच पत्त्यावरील वेब सर्व्हर हस्तांदोलनाला उत्तम उत्तर देतो आणि नंतर तुमच्या SSTP विनंतीला HTTP त्रुटीने उत्तर देतो. त्या हस्तांदोलनाच्या वरचे सर्व काही अपरीक्षित राहते.

पोर्ट चाचणीकडे शक्य तितका स्वस्त गाळणी म्हणून पाहा, निवाडा म्हणून नाही. तिचे मूल्य म्हणजे ती अपयशाचा संपूर्ण वर्ग काढून टाकते, त्याच्या वरचे सर्व काही पुष्टी करते हे नाही.

दोन्हींचा गोंधळ हेच कारण आहे की लोक क्लायंटची खरी समस्या कधीच तपासणार नाही अशा चाचणीनंतर क्लायंट पुन्हा स्थापित करतात.

पुराव्यांसह चार टप्पे वेगळे करा

टप्पे आहेत वाहतुकीची पोहोच, TLS सत्यापन, HTTPS वरून SSTP देवाणघेवाण, आणि टनेलच्या आत PPP प्रमाणीकरण. पहिला पार करून चौथ्यावर अपयशी होणाऱ्या मार्गाला क्रेडेन्शियल दुरुस्ती लागते; दुसऱ्यावर अपयशी होणाऱ्याला प्रमाणपत्र किंवा नाव दुरुस्ती लागते. या दुरुस्त्यांमध्ये काहीही साम्य नाही, आणि चुकीची निवड करणे व्यत्यय वाया घालवते.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

तिसरी आज्ञा काळजीपूर्वक वाचण्यासारखी आहे. सामान्य वेब पृष्ठावरून मिळालेला 200 तुम्हाला सांगतो की वेब सेवा आहे; तो सांगत नाही की SSTP विनंती समजून घेतली जाईल. त्याच पत्त्यावरून मिळालेला 404 VPN बद्दल तितकाच माहितीहीन आहे. फक्त क्लायंट लॉग सांगतो की तो चारपैकी कोणत्या टप्प्यावर पोहोचला.

प्रत्येक आज्ञेने कोणते नाव वापरले याकडे लक्ष द्या. तुम्ही पाठवता त्या नावाने प्रमाणपत्र निवडले जाते, म्हणून प्रोफाइल आणि चाचणी यातील तफावत ही तुम्हीच आणलेली तफावत आहे. ते नाव निकालाजवळ लिहिल्यास पुढील गोंधळ टळतो.

अर्धवट यश योग्य दिशेने वाचा

मध्यस्थ सामान्य ब्राउझिंगला परवानगी देऊन पुढील देवाणघेवाण नाकारू शकतो, म्हणूनच वेबसाइट्ससाठी चालणारा प्रॉक्सी टनेलसाठी अयशस्वी होऊ शकतो. प्रमाणपत्र ब्राउझरच्या नावासाठी वैध असून प्रोफाइलमध्ये सेट केलेल्या नावासाठी अवैध असताना तोच नमुना दिसतो: ब्राउझर समाधानी आहे आणि क्लायंट नाही, आणि दोघेही आपण तपासलेल्या गोष्टीबद्दल बरोबर आहेत.

हे निदान करताना सर्व्हर सत्यापन सुरू ठेवा. ते बंद केल्यास प्रमाणपत्रातील तफावत यशस्वी हस्तांदोलनात बदलते आणि अपयश स्पष्ट करणारा एकमेव पुरावा लपतो.

जर तोच प्रोफाइल दुसऱ्या नेटवर्कवरून चालत असेल, तर फरक मार्गावर अवलंबून आहे. यामुळे शोध मध्यस्थांपर्यंत मर्यादित होतो, कोणता हे न सांगता, आणि तो तरीही उपयुक्त पुढचे पाऊल आहे. तुम्ही वापरलेले नेटवर्क नोंदवा, कारण त्याशिवाय तुलना निरर्थक आहे.

मग सेशनच नाही, अनुप्रयोग तपासा

सेशन असेल तर ज्याला त्याची गरज आहे त्या क्लायंटकडून इच्छित मार्ग, नाव निराकरण आणि सेवा परवानगी तपासा. जोडलेल्या टनेलमध्ये दूरच्या बाजूला गहाळ फॉरवर्डिंग किंवा कधीच नसलेला परतीचा मार्ग असू शकतो, आणि प्रतीक्षा करणाऱ्या व्यक्तीला ते अपयश अगदी अनुप्रयोगाची समस्या वाटते.

प्रत्येक निष्कर्ष तो निर्माण करणाऱ्या टप्प्याशी जोडून ठेवा. उघड्या पोर्टला कार्यरत VPN म्हणणे म्हणजे पाच मिनिटांची प्रमाणपत्र तपासणी एका दिवसाच्या सॉफ्टवेअर पुनःस्थापनात बदलण्याचा मार्ग.