Tamat masa SSTP atau ralat sijil: cara membezakannya

Sambungan SSTP gagal dalam dua cara yang kelihatan sama dari kerusi pengguna, dan pembaikan bagi setiap satu terletak pada lapisan berbeza. Tamat masa bermakna pertukaran yang diperlukan tidak pernah selesai; ralat sijil bermakna bahan identiti tiba dan ditolak. Menganggap yang kedua seperti yang pertama membawa anda kepada tembok api dan kata laluan yang tidak pernah menjadi masalah. Bukti yang membezakannya ada dalam log klien itu sendiri, jika anda membacanya sebelum mengubah apa-apa.

Dua kegagalan, dua pertukaran berbeza

SSTP membawa terowong di dalam sesi berbentuk HTTPS, sebab itu ia bertahan dalam rangkaian yang hanya membenarkan 443. Klien melengkapkan jabat tangan TLS, menghantar permintaan HTTP dengan kaedah khusus protokol, kemudian terowong berjalan di dalam aliran itu. Kegagalan pada mana-mana langkah itu menghentikan sambungan, dan hanya langkah kemudian melibatkan kelayakan.

Urutan itulah diagnosisnya. Jika jabat tangan TLS tidak pernah selesai, tiada kelayakan dihantar, jadi set semula kata laluan tidak dapat membantu. Jika jabat tangan selesai dan kemudian terhenti, identiti diterima dan sesuatu dalam laluan permintaan menolaknya. Jika jabat tangan gagal dengan mesej pengesahan, pelayan menjawab dan klien tidak menyukai apa yang didengarnya. Tiga hasil, tiga lapisan.

Baris log biasanya menyatakan yang mana antara tiga anda berada, jadi elok dirakam sebelum perubahan pertama.

Tamat masa bermakna satu peringkat tidak pernah selesai

Mulakan dengan penyelesaian nama dan capaian TCP, kerana tamat masa di situ kelihatan sama dengan tamat masa kemudian. Pemeriksa port yang melaporkan 443 terbuka hanya membuktikan bahawa pendengar menerima sambungan, dan tidak lebih daripada itu.

Suspek seterusnya ialah laluan, bukan hos. Proksi dan tembok api yang mengenali aplikasi kadangkala menolak kaedah permintaan yang digunakan SSTP, atau menggugurkan aliran yang kekal terbuka berjam-jam, dan kedua-dua tingkah laku kelihatan seperti tamat masa dari pihak klien. Halaman HTTPS biasa yang disajikan oleh hos yang sama dimuatkan dengan sempurna sementara kaedah terowong ditolak, sebab itu melayari ke titik akhir membuktikan sangat sedikit. Uji dari rangkaian tanpa proksi untuk memisahkan kedua-dua kes itu.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Tamat masa sebelum apa-apa respons daripada rakan tidak menyatakan apa-apa tentang akaun, dan menukar kata laluan pada ketika itu hanya menambah satu pemboleh ubah.

Ralat sijil bermakna identiti ditolak

Di sini pelayan benar-benar menjawab, jadi rangkaian berfungsi dan soalan beralih kepada identiti. Bandingkan nama yang didail klien dengan nama yang benar-benar didakwa sijil, kemudian semak tarikh kesahan dan rantaian pengeluar.

CA persendirian yang tidak dipercayai klien menghasilkan kelas ralat yang sama seperti sijil tamat tempoh, dan begitu juga jam yang tersasar berjam-jam. Mendail alamat mentah mencipta ketidakpadanan baharu, kerana sijil mendakwa nama dan bukan alamat. Dalam penggunaan terurus, dapatkan konfigurasi kepercayaan yang dimaksudkan daripada pentadbirnya dan bukannya menerima akar pengganti yang ditawarkan oleh halaman ralat. Pengesahan kekal hidup semasa anda membaiki puncanya.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Biarkan peringkat TLS yang berjaya kekal utuh selepas ia lulus, kerana membatalkannya kemudian menyembunyikan perubahan mana yang benar-benar membaiki terowong.

Di mana kedua-duanya keliru

Kedua-dua kegagalan muncul sebagai sambungan yang tidak naik, dan kedua-duanya datang selepas pengguna mengubah sesuatu yang tidak berkaitan. Kebetulan itulah yang membuat pembaikan yang salah kelihatan munasabah untuk seketika.

Dua tabiat memisahkan keduanya. Rakam log klien sebelum menyentuh konfigurasi, supaya keadaan pertama terpelihara. Tukar satu lapisan setiap percubaan, supaya hasil berikutnya milik pemboleh ubah yang diketahui. Pemeriksa port dan pelayar ialah pemerhatian separa dan bukan urutan penuh, dan kedua-duanya tidak menggantikan laporan klien sendiri. Tiada satu pun tabiat itu berharga, dan kedua-duanya memendekkan siasatan.

Persoalan sijil dan persoalan capaian didokumenkan secara berasingan atas sesuatu sebab.

Uji semula dengan klien sebenar, kemudian bergerak ke dalam

Setelah pembetulan khusus berada di tempatnya, cuba lagi dengan klien SSTP sebenar dan profil sebenar, bukan dengan tab pelayar.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Jika sesi bersambung dan sumber masih gagal, terowong bukan lagi suspek: beralih kepada penghalaan, DNS dan akses perkhidmatan. Itu siasatan lain dengan bukti lain. Mengekalkan peringkat TLS dan pengesahan yang berfungsi menghalangnya menjadi pengulangan yang pertama. Tulis peringkat yang gagal dalam tiket, jika tidak orang seterusnya akan bermula dari atas lagi.