Cara menyemak sama ada klien VPN benar-benar menyokong SSTP

Menamakan produk sebagai klien VPN tidak menjelaskan sama ada ia bertutur SSTP, dan port 443 dalam alamat membuktikan lebih sedikit lagi. SSTP menjalankan TLS di atas TCP 443, kemudian pertukaran kawalan SSTP, kemudian PPP untuk pautan itu sendiri, dengan pengesahan sijil dan kaedah pengesahan PPP di atasnya. Klien hanya menyokong protokol itu apabila pelaksanaan yang dinamakan, pada versi yang dipasang, melengkapkan setiap lapisan itu mengikut keperluan pelayan anda. Lakukan semakan di bawah mengikut urutan dan berhenti pada yang pertama gagal, kerana itulah yang wajar diselesaikan.

Padankan pelaksanaan, versi dan platform

Mulakan dengan platform, aplikasi dan binaan yang dipasang, kerana satu nama vendor boleh berada di atas dua pelaksanaan yang sama sekali berbeza. Jenis VPN terbina dalam dan klien pihak ketiga bukan perkara yang sama, dan pemalam boleh memaparkan label penyesuai yang tidak menggambarkan protokol di bawahnya. Dokumentasi untuk keluaran semasa tidak menggambarkan binaan yang berjalan pada mesin di hadapan anda. Baca halaman khusus versi itu, kemudian bandingkan dengan apa yang dilaporkan oleh klien tentang dirinya.

Dalam Windows jenis terowong datang dari platform dan bukan dari GUI, jadi tanyakan kepada platform. Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress memaparkan Sstp apabila klien asli akan mencuba protokol itu, dan rujukan jenis sambungan menyenaraikannya antara jenis terowong terbina dalam. Dalam Linux tiada klien SSTP asli sama sekali, jadi persoalannya menjadi sama ada pelaksanaan berasingan seperti sstpc daripada pakej sstp-client dipasang dan terkini.

Baca format profil sebelum label

Profil tidak boleh ditukar ganti, dan fail yang diberikan kepada anda biasanya menyelesaikan persoalan itu lebih cepat daripada mana-mana senarai ciri. Arahan OpenVPN, kunci WireGuard dan tetapan sambungan SSTP menggambarkan tiga protokol yang tidak berkaitan, dan tiada dialog import yang menukar satu menjadi yang lain. Perkongsian port TCP 443 tidak menterjemah apa-apa, kerana SSTP, OpenVPN di atas TLS dan perkhidmatan HTTPS biasa boleh menduduki port yang sama dan tidak mempunyai apa-apa persamaan di atasnya.

Jika fail itu ialah .ovpn atau konfigurasi WireGuard, jawapannya sudah jelas: klien itu tidak diminta bertutur SSTP. Mengimportnya ke klien yang hanya melakukan SSTP gagal pada peringkat profil, jauh sebelum sebarang rundingan protokol bermula.

Apa yang TLS tidak buktikan tentang penggunaan

Jabat tangan TLS yang selesai membuktikan pelayan mempunyai sijil, dan ia tidak membuktikan apa-apa tentang sama ada klien anda mempercayai rantaian pengeluar atau memadankan nama di dalamnya. Pengesahan mesti berjaya terhadap pelayan yang dimaksudkan, termasuk mana-mana CA persendirian yang dikendalikan organisasi, dan klien yang menawarkan untuk melangkau ralat sijil telah membuang semakan itu dan bukan memperoleh sokongan protokol. Pengesahan rantaian dan pemadanan nama ialah dua ujian berasingan, dan tindanan yang lulus satu masih boleh gagal pada yang lain. Kedua-duanya tergolong dalam kriteria penerimaan, bukan lampiran penyelesaian masalah.

Kemudian sahkan kaedah pengesahan PPP, kerana penggunaan dengan EAP-TLS memerlukan klien yang boleh mengemukakan sijil di dalam PPP, manakala kaedah berasaskan kata laluan memerlukan sokongan untuk pertukaran itu. Alamat pelayan dan kata laluan tidak menggambarkan keperluan sebenar organisasi, terutamanya apabila terdapat faktor kedua atau semakan peranti di hadapannya. Tanyakan kaedah mana yang dikuatkuasakan oleh pelayan sebelum menganggap klien boleh memenuhinya.

Ikuti sesi melalui empat peringkat

Perhatikan sambungan melintasi empat sempadan: TCP dan TLS ke pelayan, pertukaran kawalan SSTP, rundingan PPP, kemudian sumber yang benar-benar anda perlukan. Log yang berhenti selepas TLS menggambarkan kerosakan berbeza daripada yang berhenti di dalam PPP, dan kedua-duanya membawa kepada pemilik yang berbeza. Pelayar memuatkan halaman web hos hanya membuktikan ada sesuatu yang menjawab pada 443, iaitu positif palsu yang paling biasa dalam bidang ini. Jika halaman itu dimuatkan sementara klien masih gagal, masalahnya terletak di atas TLS dan pelayan web bukan suspek.

Akhiri dengan sumber persendirian sebenar dan carian nama, kerana sesi yang terbentuk dan tidak membawa apa-apa kelihatan sama seperti yang berfungsi dalam kebanyakan tetingkap status. Satu permintaan berjaya ke sumber yang anda perlukan menyelesaikan persoalan yang tidak dapat dijawab oleh ikon.

Apabila sokongan tiada, ubah rancangan

Jika klien tidak boleh bertutur SSTP, dapatkan alternatif yang diluluskan atau minta pemilik pelayan protokol yang disokong kedua-dua hujung. Menghapuskan pilihan yang tidak dikenali sehingga import berjaya menghasilkan profil yang tidak bersambung ke apa-apa, iaitu laluan yang lebih perlahan ke jalan buntu yang sama. Pemasang dari sumber tidak diketahui yang mengiklankan keserasian sejagat menambah laluan kepercayaan yang tidak diluluskan pada mesin dan sering menggantikan klien platform dengan sesuatu yang tidak boleh dikemas kini oleh organisasi. Kedua-dua langkah itu bukan pembaikan, dan kedua-duanya lebih sukar dipatahkan daripada masalah asal.

Tangani persoalan keserasian secara berasingan daripada prestasi dan pemilihan titik akhir, kerana pelayan berdekatan tidak berguna apabila klien tidak boleh bertutur protokolnya. Penalaan kependaman tidak membaiki peringkat yang tidak pernah selesai.