Как проверить, действительно ли VPN-клиент поддерживает SSTP

Назвать продукт VPN-клиентом ещё не значит, что он говорит на SSTP, а порт 443 в адресе доказывает и того меньше. SSTP запускает TLS поверх TCP 443, затем обмен управления SSTP, затем PPP для самого соединения, а сверху — проверку сертификата и метод аутентификации PPP. Клиент поддерживает протокол только тогда, когда указанная реализация в установленной версии проходит каждый из этих уровней согласно требованиям вашего сервера. Выполняйте проверки ниже по порядку и остановитесь на первой неудачной, потому что решать стоит именно её.

Сопоставьте реализацию, версию и платформу

Начните с платформы, приложения и установленной сборки, потому что одно имя производителя может стоять над двумя совершенно разными реализациями. Встроенные типы VPN и сторонние клиенты — не одно и то же, а плагин может показывать метку адаптера, не описывающую протокол под ней. Документация текущего выпуска не описывает ту сборку, что работает на машине перед вами. Прочитайте страницу для конкретной версии и сравните её с тем, что клиент сообщает о себе.

В Windows тип туннеля берётся из платформы, а не из графического интерфейса, поэтому спрашивайте платформу. Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress показывает Sstp, когда встроенный клиент попытается использовать протокол, а справочник типов подключений перечисляет его среди встроенных типов туннеля. В Linux встроенного клиента SSTP нет вовсе, поэтому вопрос сводится к тому, установлена ли и актуальна ли отдельная реализация, например sstpc из пакета sstp-client.

Сначала формат профиля, потом ярлык

Профили не взаимозаменяемы, и переданный вам файл обычно решает вопрос быстрее любого списка возможностей. Директивы OpenVPN, ключи WireGuard и параметры подключения SSTP описывают три несвязанных протокола, и ни один диалог импорта не превращает один в другой. Общий порт TCP 443 ничего не транслирует, так как SSTP, OpenVPN через TLS и обычная служба HTTPS могут занимать один и тот же порт и не иметь ничего общего выше него.

Если файл — это .ovpn или конфигурация WireGuard, ответ уже на столе: от этого клиента не требуется говорить на SSTP. Импорт в клиент, умеющий только SSTP, терпит неудачу уже на этапе профиля, задолго до начала любых переговоров о протоколе.

Что TLS не доказывает о развёртывании

Завершённое рукопожатие TLS доказывает, что у сервера есть сертификат, и ничего не доказывает о том, доверяет ли ваш клиент цепочке выдачи или совпадает ли имя внутри неё. Проверка должна успешно пройти для нужного сервера, включая любой частный CA, которым управляет организация, а клиент, предлагающий пропускать ошибки сертификата, не получил поддержку протокола, а убрал проверку. Проверка цепочки и совпадение имени — два отдельных теста, и стек, проходящий один, может не пройти другой. Оба относятся к критериям приёмки, а не к приложению по устранению неполадок.

Затем подтвердите метод аутентификации PPP, потому что развёртывание с EAP-TLS требует клиента, способного предъявить сертификат внутри PPP, а метод на основе пароля требует поддержки такого обмена. Адрес сервера и пароль не описывают реальное требование организации, особенно когда перед ними стоит второй фактор или проверка устройства. Спросите, какой метод требует сервер, прежде чем предполагать, что клиент его выполнит.

Проследите сеанс через четыре этапа

Смотрите, как соединение проходит четыре границы: TCP и TLS до сервера, обмен управления SSTP, согласование PPP, а затем ресурс, который вам действительно нужен. Журнал, обрывающийся после TLS, описывает другую неисправность, чем тот, что обрывается внутри PPP, и эти два ведут к разным ответственным. Загрузка браузером веб-страницы узла доказывает лишь то, что на 443 что-то ответило, а это самое частое ложное срабатывание в этой области. Если страница загружается, а клиент по-прежнему не работает, проблема выше TLS и веб-сервер не подозреваемый.

Завершите настоящим частным ресурсом и запросом имени, потому что сеанс, который устанавливается и ничего не передаёт, в большинстве окон состояния выглядит так же, как работающий. Один успешный запрос к нужному ресурсу решает вопрос, на который значок ответить не может.

Когда поддержки нет, меняйте план

Если клиент не умеет говорить на SSTP, добудьте одобренную альтернативу или попросите владельца сервера о протоколе, который поддерживают обе стороны. Удаление нераспознанных параметров до успешного импорта даёт профиль, который ни к чему не подключается, — это более медленный путь в тот же тупик. Установщик из неизвестного источника, обещающий универсальную совместимость, добавляет в машину неодобренный путь доверия и часто заменяет клиент платформы тем, что организация не может обновить. Ни один из этих шагов не является исправлением, и оба труднее отменить, чем исходную проблему.

Рассматривайте вопрос совместимости отдельно от производительности и выбора конечной точки, потому что близкий сервер бесполезен, когда клиент не умеет говорить на его протоколе. Настройка задержки не исправляет этап, который никогда не завершается.