SSTP jispiċċa l-ħin jew żball taċ-ċertifikat: kif tagħraf tnejn minn xulxin

Konnessjoni SSTP tfalli b'żewġ modi li jidhru l-istess mis-siġġu tal-utent, u t-tiswija ta' kull waħda tinsab fuq saff differenti. Skadenza tfisser li skambju meħtieġ qatt ma tlestiet; żball taċ-ċertifikat ifisser li l-materjal tal-identità wasal u ġie miċħud. Jekk tittratta t-tieni bħall-ewwel, tmur lejn firewalls u passwords li qatt ma kienu l-problema. Il-prova li tiddistingwihom tinsab fil-log tal-klijent stess, jekk taqraha qabel ma tbiddel xejn.

Żewġ fallimenti, żewġ skambji differenti

SSTP iġorr mina ġewwa sessjoni b'forma ta' HTTPS, għalhekk jgħix f'netwerks li ma jippermettux ħlief 443. Il-klijent itemm handshake TLS, jibgħat talba HTTP b'metodu speċifiku għall-protokoll, u mbagħad il-mina taħdem ġewwa dak il-fluss. Falliment f'xi wieħed minn dawn il-passi jwaqqaf il-konnessjoni, u huma biss dawk ta' wara li jinvolvu l-kredenzjali.

Dik l-ordni hija d-dijanjosi. Jekk l-handshake TLS qatt ma jitlesta, l-ebda kredenzjali ma ntbagħtet, għalhekk reset tal-password ma jistax jgħin. Jekk l-handshake jitlesta u mbagħad jieqaf, l-identità ġiet aċċettata u xi ħaġa fit-triq tat-talba rrifjutatha. Jekk l-handshake jfalli b'messaġġ ta' validazzjoni, is-server wieġeb u l-klijent ma għoġbux dak li sama'. Tliet riżultati, tliet saffi.

Il-linja tal-log normalment tgħid f'liema mit-tlieta tinsab, għalhekk jiswa li taqbadha qabel l-ewwel bidla.

Skadenza tfisser li fażi qatt ma tlestiet

Ibda bir-riżoluzzjoni tal-ismijiet u l-aċċessibbiltà TCP, għax skadenza hemmhekk tidher identika għal skadenza aktar tard. Verifikatur tal-port li jirrapporta 443 miftuħ biss jipprova li semmiegħ aċċetta konnessjoni, u xejn aktar minn hekk.

Is-suspettat li jmiss huwa t-triq u mhux il-host. Il-proxies u l-firewalls konxji tal-applikazzjonijiet xi drabi jirrifjutaw il-metodu tat-talba li juża SSTP, jew iwaqqgħu fluss li jibqa' miftuħ għal sigħat, u ż-żewġ imġibiet jidhru bħal skadenza mill-klijent. Paġna HTTPS ordinarja li sservi l-istess host tgħabbi perfettament waqt li l-metodu tal-mina jiġi rrifjutat, għalhekk li tfittex lejn il-punt aħħari jipprova ftit ħafna. Ipprova minn netwerk mingħajr il-proxy biex tifred dawk iż-żewġ każi.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Skadenza qabel xi tweġiba mill-ieħor ma tgħid xejn dwar il-kont, u li tbiddel il-password f'dak il-mument iżżid biss varjabbli.

Żball taċ-ċertifikat ifisser li l-identità ġiet miċħuda

Hawn is-server wieġeb tabilħaqq, għalhekk in-netwerk jaħdem u l-mistoqsija tmur lejn l-identità. Qabbel l-isem li l-klijent idawwal mal-ismijiet li ċ-ċertifikat verament jallega, imbagħad iċċekkja d-dati tal-validità u l-katina tal-ħruġ.

CA privata li l-klijent ma jafdax tipproduċi l-istess klassi ta' żball bħal ċertifikat skadut, u l-istess tagħmel arloġġ li jmur sigħat ħazin. Li ddawwal l-indirizz nej jiġġenera nuqqas ta' qbil ġdid, għax iċ-ċertifikat jallega ismijiet u mhux indirizzi. F'implimentazzjoni amministrata, ħu l-konfigurazzjoni tal-fiduċja maħsuba mingħand l-amministratur tagħha minflok ma taċċetta għerq sostitut li joffri paġna ta' żball. Il-validazzjoni tibqa' mixgħula waqt li tkun qed tissewwa l-kawża.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Żomm il-fażi TLS li rnexxiet intatta wara li tgħaddi, għax li tneħħiha aktar tard taħbi liema bidla tassew sewwiet il-mina.

Fejn it-tnejn jiġu konfużi

Iż-żewġ fallimenti jidhru bħala konnessjoni li ma titlax, u t-tnejn jaslu wara li l-utent ikun bidel xi ħaġa mhux relatata. Dik il-koinċidenza hija li tagħmel it-tiswija żbaljata tidher plawsibbli għal ftit.

Żewġ drawwiet iżommuhom separati. Aqbad il-log tal-klijent qabel ma tmiss il-konfigurazzjoni, sabiex l-ewwel stat jinżamm. Ibdel saff wieħed kull attentat, sabiex ir-riżultat li jmiss ikun ta' varjabbli magħrufa. Il-verifikatur tal-port u l-browser huma osservazzjonijiet parzjali u mhux is-sekwenza kollha, u l-ebda waħda minnhom ma tissostitwixxi r-rapport tal-klijent stess. L-ebda drawwa ma tiswa xejn, u t-tnejn iqassru l-investigazzjoni.

Il-mistoqsija taċ-ċertifikat u dik tal-aċċessibbiltà huma dokumentati separatament għal raġuni.

Ittestja mill-ġdid bil-klijent veru, imbagħad imxi lejn ġewwa

Meta l-korrezzjoni speċifika tkun f'postha, erġa' pprova bil-klijent SSTP attwali u l-profil veru, mhux b'tab tal-browser.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Jekk is-sessjoni tikkonnettja u r-riżorsi xorta jfallu, il-mina m'għadhiex is-suspettat: mur għall-irrotar, id-DNS u l-aċċess għas-servizzi. Dik hija investigazzjoni oħra bi provi oħra. Li żżomm il-fażijiet TLS u tal-awtentikazzjoni li jaħdmu jwaqqafha milli ssir ripetizzjoni tal-ewwel. Ikteb fit-ticket il-fażi li ffalliet, inkella l-persuna li jmiss terġa' tibda mill-bidu.