SSTP autentiserer først tenaren og deretter brukaren

Ein SSTP-klient kan fullføre TLS og likevel avvise brukaren eit sekund seinare. Den rekkjefølgja er ikkje ein feil, det er protokollstakken: transportsikkerheit først, brukarautentisering etterpå. Fordi dei to trinna feilar med ulike meldingar, treng dei òg ulike rettingar. Å lese kva trinn som produserte feilen er det meste av diagnosen.

Eit klarert sertifikat beviser endepunktet; det seier ingenting om kontoen.

Kva TLS-handtrykket fastslår

Klienten validerer sertifikatet tenaren legg fram mot tillitslageret sitt, det førespurde vertsnamnet, gyldigheitsvindauget og einkvar tilleggspolicy plattformen brukar. Det vernar sambandet til det tiltenkte endepunktet. Det beviser ikkje at ein bestemt konto er aktivert, ikkje utløpt eller tillaten for fjernåtkomst. Det er separate spørsmål som blir stilte seinare av ein annan komponent.

Derfor er det feil retting å fjerne sertifikatkontrollar for å nå påloggingsforespurnaden. Du får ein påloggingsforespurnad på eit samband du ikkje kan verifisere. Ein sertifikatfeil høyrer til vertsnamnet, klokka, kjeda eller tillitskonfigurasjonen.

Kva SSTP og PPP legg til på toppen

SSTP køyrer over HTTPS og ber PPP inni seg, med si eiga kontrollutveksling rundt sambandet. PPP køyrer deretter lenkje- og autentiseringsfasane sine, og autentiseringsmetoden avheng av tenarpolicyen og evna til klienten. PAP, CHAP, MS-CHAPv2 og EAP er alle PPP-autentiseringsval med svært ulike eigenskapar. Brukarkontrollen til VPN-en er den PPP-fasen, ikkje TLS-laget under det.

Ei brukaravvising kan derfor tyde legitimasjon, ei kontobegrensing eller eit metodeavvik.

Årsaka på tenarsida er langt nyttigare enn å tilbakestille kvar løyndom i profilen. Ei hending med deaktivert konto og ein mislukka metodeforhandling ser like ut på klienten og har ingenting til felles på tenaren.

Knyt feilen til trinnet

Sjekk om sambandet når TLS, deretter SSTP HTTP-utvekslinga, deretter PPP-fasen. Hald loggtidsstempla justerte på tvers av forsøk slik at ein tidlegare feil ikkje blir forveksla med ein seinare suksess. Ein klient som loggar to forsøk i eitt vindauge vil elles sjå ut som han feila på det siste trinnet han nådde. Les den første relevante feilen, ikkje den siste linja.

Den same justeringa er viktig på tenarsida, der autentiseringsposten og transportloggen ofte er separate filer med separate klokker. To minutt skevheit er nok til å få ei openberr årsak til å sjå umogleg ut.

Etter pålogging er autorisasjon framleis separat

Ei vellukka pålogging gir ikkje tilgang til alle private ressursar. Ruter avgjer kva som er tilgjengeleg, DNS avgjer kva som blir løyst opp, og kvar teneste brukar framleis sine eigne løyve. Ei økt som blir vist som tilkopla er ei utsegn om tunnelen, ikkje om fildelinga. Når ein brukar kan kople til og ikkje når éin vert, er tunnefasen allereie ferdig.

Det er den same lagdelinga som handtrykket viste, eitt nivå høgare.

Hald kontogjenoppretting innanfor den støtta prosessen til operatøren i staden for å endre transportinnstillingar som svar på ei eksplisitt brukaravvising. Å endre transporten for å reparere ein deaktivert konto er den typen reparasjon som ser ut til å verke når kontoen blir aktivert på nytt av ein urelatert grunn.