Ktoré protokoly tento verejný uzol VPN skutočne ponúka?
To, že serverový softvér podporuje protokol, neznamená, že tento uzol ho zapol. Skontrolujte koncový bod, profil a fázu, ktorá skutočne zlyháva.
Softvér ho podporuje, teda uzol ho ponúka. Tento záver je nesprávny dosť často na to, aby sa stal pravidlom: nasadenie SoftEther môže zapnúť ľubovoľnú podmnožinu svojich kompatibilných spôsobov pripojenia a verejný uzol je nasadenie s vlastníkom a konfiguráciou. S čím sa môžete pripojiť, závisí od tohto uzla, nie od zoznamu funkcií projektu, ktorý spúšťa. Práve v medzere medzi oboma žije väčšina tiketov „protokol je rozbitý“.
Čo zoznam projektu skutočne sľubuje
Protokolové funkcie projektu opisujú, čoho je server schopný. Daný uzol zapína niektorých z týchto poslucháčov a iných nie a operátor môže tento súbor zmeniť bez toho, aby sa dotkol verzie softvéru. Preto sa dva uzly na tej istej zostave správajú odlišne a profil, ktorý funguje proti jednému, nič nedokazuje o ďalšom cieli. Vlastný zoznam uzla má pri výbere, kam sa pripojiť, väčšiu váhu než stránka projektu.
Čítajte zoznam ako päť polí, nie ako menu: koncový bod, port, transport, rodina protokolov a metóda overovania. Verejný uzol, ktorý inzeruje SSTP vám povedal o poslucháčovi na porte; nepovedal vám, ktorý certifikát predkladá ani či tam váš účet funguje. Porovnanie týchto piatich polí s vaším profilom je rýchlejšie než akékoľvek preinštalovanie klienta a dáva písomné očakávanie, ktoré môžete neskôr otestovať.
Zlaďte profil s koncovým bodom, ktorý uvádza
Natívny záznam SoftEther nie je automaticky konfigurácia OpenVPN, aj keď sa oba objavia na jednej stránke poskytovateľa pod jedným nadpisom. Keď uzol zverejní pre OpenVPN poslucháča TCP aj UDP, berte ich ako dva koncové body: profil upravený z jedného na druhý mieri na poslucháča, ktorého nikto nezapol. Štítok transportu v súbore je súčasťou adresy, nie kozmetické nastavenie.
To, že klient prijme importovaný súbor, dokazuje, že sa súbor parsuje. Nič to nehovorí o tom, či na druhom konci čaká vzdialený poslucháč, a preto je prvý pokus o pripojenie skutočným testom. Porovnajte vzdialený riadok profilu s inzerovaným hostiteľom a portom uzla, než obviníte protokol.
Otestujte fázu, ktorá zlyháva
Hostiteľ, ktorý odpovedá na webovú prevádzku, môže stále postrádať zamýšľanú službu VPN, a hostiteľ, ktorý odmieta jeden protokol, nemusí byť nutne mimo prevádzky pre všetky. Tieto dve chyby posielajú ľudí opačnými smermi to isté popoludnie. Jeden prenasleduje firewall, ktorý je v poriadku; druhý preinštalúva klienta, ktorý nikdy nebol problémom. Otestujte každú cestu zvlášť, aby odpoveď opisovala jeden poslucháč, a nie celého hostiteľa.
Týchto päť kontrol pokrýva bežné metódy verejných uzlov. Vykonávajte ich z tej istej siete, ktorú používa klient, pretože filtrovaný port vyzerá zďaleka rovnako ako chýbajúci poslucháč.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Výsledok | Fáza | Čo vylučuje |
|---|---|---|
| Pripojenie odmietnuté alebo vypršal čas | Transport | Poslucháč chýba, je filtrovaný alebo je nesprávny port |
| Chyba TLS handshake alebo identity | Certifikát | Dostupnosť protokolu; poslucháč odpovedal |
| AUTH_FAILED alebo odmietnutie účtu | Overovanie | Koncový bod; problém je v prihlasovacích údajoch |
| UDP 500 a 4500 mlčia | Vyjednávanie IPsec | ESP a L2TP sú zablokované pred overením |
Priraďte každú pozorovanú chybu k jej riadku, než čokoľvek zmeníte. Zlyhanie identity TLS dokazuje, že poslucháč existuje, takže prepísanie profilu na iný protokol by zahodilo funkčný dôkaz. Odmietnuté pripojenie dokazuje len to, že tento port neodpovedal, čo je oveľa užšie tvrdenie než „uzol nepodporuje OpenVPN“.
Zachovajte chybu, než čokoľvek zmeníte
Zapíšte presný výsledok: vypršanie času, zlyhanie identity certifikátu, odmietnutie účtu a odmietnutie na úrovni aplikácie sú štyri rôzne výsledky. Len prvý sa týka nedostupného protokolu a len posledný sa týka oprávnenia po úspešnom pripojení. Reset klienta alebo výmena protokolov túto rozlišnosť ničí, pretože ďalšie zlyhanie prichádza s inou históriou a bez východiskovej línie na porovnanie.
Neslabujte overovanie, aby nekompatibilný profil vyzeral, že funguje. Vypnutá kontrola certifikátu mení jasné zlyhanie identity na spojenie s niečím, kam ste sa dostať nechceli, a výsledný úspech je horší než pôvodná chyba, pretože skrýva, ktorá fáza bola nesprávna.
Prekontrolujte pre každý uzol, zakaždým
Natívne voľby SSL, OpenVPN, L2TP/IPsec a SSTP v zozname verejného uzla opisujú konfiguráciu tohto uzla v danom okamihu. Ten istý softvér inde môže ponúknuť inú sadu a poskytovateľ môže poslucháča zrušiť medzi vašou záložkou a ďalším pokusom. Staré poznámky opisujú staré nasadenia.
Zaznamenajte overený profil s jeho koncovým bodom a metódou, potom test zopakujte, keď sa uzol zmení alebo pripojenie začne zlyhávať. Špecifikácia protokolu SoftEther je referenciou pre to, čo softvér dokáže; vlastný zoznam uzla je referenciou pre to, čo robí. Držte oba dokumenty oddelene a diagnóza sa skráti.