SSTP v Linuxe zlyháva pred prihlásením? Skontrolujte behové časti

Nainštalujete doplnok SSTP, v editore siete sa objaví prepínač, vyplníte bránu a používateľské meno a profil zlyhá so všeobecnou chybou skôr, než sa vôbec spýta na heslo. Na tomto postupe nie je nič nezvyčajné a nič v ňom nedokazuje, že softvér tunela je nainštalovaný. Spojenie SSTP sa skladá z častí, ktoré sa dodávajú oddelene: doplnok VPN, ktorý NetworkManager dokáže spustiť, klientský program SSTP, ktorý vlastní reláciu TLS a PPP, démon PPP pod ním a úložisko tajomstiev, ktoré smie spojenie čítať.

Čo položka ponuky pridáva a čo nie

Doplnok pridáva opis služby, ktorý hovorí NetworkManageru, ako ju spustiť, a na väčšine distribúcií malý editor, ktorý kreslí formulár. To je celý rozsah položky menu. Klientský program pochádza z iného zdrojového balíka a vlastný README doplnku to hovorí priamo: je to doplnok, nie klient.

Klient potom potrebuje PPP, pretože SSTP prenáša reláciu PPP vnútri spojenia TLS. Bez pppd môže tunel dokončiť podanie rúk TLS a napriek tomu zomrieť na prvom riadiacom rámci, čo vyzerá ako problém s prihlasovacími údajmi a nie je. Na Debiane a Ubuntu časti prichádzajú ako network-manager-sstp, sstp-client a ppp a inštalácia len prvej je najčastejším dôvodom, prečo formulár prijme každé pole, ale spojenie sa nikdy nedokončí.

Voľba plochy pridáva ďalšie rozdelenie. Plasma upravuje profily cez plasma-nm, ktorý potrebuje vlastný komponent SSTP a číta ten istý opis služby, takže editor bez položky SSTP a CLI, ktoré profily dobre vytvára, je chýbajúca polovica editora, nie pokazené behové prostredie.

Prečítajte si prvú neúspešnú fázu, kým čokoľvek preinštalujete

Neúspešný pokus o SSTP prechádza fázami v pevnom poradí a fáza, ktorá zlyhala, vám povie, na ktorý komponent sa pozrieť.

Spustenie doplnku je prvé a zlyhanie tam dáva správu o službe VPN, nie o serveri. Nasleduje TCP spojenie na port 443; odmietnutie alebo časový limit je tu problém dostupnosti, nie TLS. Potom podanie rúk TLS a kontrola identity servera, potom vyjednávanie PPP a overenie účtu a nakoniec pridelenie adresy a trasy. Sledujte journalctl -f -u NetworkManager, keď profil raz aktivujete, a čítajte prvý konkrétny riadok, nie posledný všeobecný.

Toto poradie vysvetľuje časté nesprávne čítanie. Sťažnosť na certifikát sa hlási pred odoslaním akýchkoľvek prihlasovacích údajov, takže zmena hesla nepomôže; odmietnutie overenia PPP prichádza po úspešnom podaní rúk, takže výmena certifikátu tiež nepomôže. Podržte prvú chybu a jej fázu a máte diagnózu, nie príznak.

Dôvera v certifikát a prihlásenie do účtu sú oddelené brány

Podanie rúk overuje, že server je ten, ktorý ste chceli dosiahnuť, pomocou vydavateľa a mena, ktoré ste nastavili. Až potom vrstva PPP ponúkne vaše používateľské meno a heslo metóde overenia brány. Dve nezávislé kontroly teda, vyhodnocované v pevnom poradí, s oddelenými nastaveniami pre každú. Nič napísané do poľa hesla nemôže ovplyvniť tú prvú.

Profil, ktorý dôveruje nesprávnemu vydavateľovi, zlyhá na prvej bráne s chybou identity. Profil, ktorý mu dôveruje správne, ale ukladá zastarané heslo, zlyhá na druhej s odmietnutím overenia. Oba vyzerajú ako VPN, ktorá sa nepripojí, a ani jeden sa neopraví liekom toho druhého.

Získajte očakávaného vydavateľa a meno servera od toho, kto bránu prevádzkuje, namiesto hádania predvolených hodnôt editora, a poznamenajte si požadovanú metódu overenia. Ak organizácia potrebuje metódu, ktorú doplnok nevie vyjadriť, poctivá odpoveď je schválený klient, ktorý to vie, nie profil s vypnutým overovaním, aby chyba zmizla.

Nech jeden vlastník drží profil a tajomstvá

Keď profil existuje, aktivujte ho cez NetworkManager a nechajte toho správcu vlastniť výsledné trasy a zmeny resolvera. Spustenie druhého samostatného klienta SSTP, kým NetworkManager už vedie spojenie, vám dá dve sady trás, dve konfigurácie DNS a ladenie bez jediného zdroja pravdy.

Tajomstvá majú tiež vlastníka. Spojenie označené na systémové použitie ukladá prihlasovacie údaje inak ako spojenie obmedzené na vašu používateľskú reláciu a profil vytvorený ručne v súbore kľúčov nemusí byť čitateľný pre agenta tajomstiev, ktorý očakáva interaktívne dodanie hesla. Skontrolujte, aký kontext profil očakáva, skôr než znova napíšete heslo, ktoré nikdy nebolo problémom. Aktivácia toho istého profilu z terminálu pomocou nmcli je najrýchlejší test, pretože výzva, ktorá sa nikdy neobjaví, vám povie, že agent už nemal čo ponúknuť.

Skontrolujte tunel, trasy a resolver oddelene

Indikátor pripojenia tvrdí len to, že sa link zdvihol. Skontrolujte cieľ, ktorý skutočne potrebujete, trasu, ktorá ho nesie, a používaný resolver, jedno po druhom; každé môže byť nesprávne, kým ostatné dve sú v poriadku.

Pri neúspešnom pokuse zaznamenajte verziu každého komponentu a očistený text chyby. Zdieľajte ich, nie celý profil, pretože profil môže obsahovať predtým zdieľané tajomstvo a vaše uložené prihlasovacie údaje.

Nakoniec sa odpojte a znova pripojte, potom raz reštartujte. Ak profil funguje len na prvý pokus, problém je v zaobchádzaní s tajomstvami alebo vo vlastníctve trás, a oboje je teraz lacnejšie opraviť než uprostred pracovného dňa.