Katere protokole to javno vozlišče VPN v resnici ponuja?
To, da strežniška programska oprema podpira protokol, še ne pomeni, da ga je to vozlišče omogočilo. Preverite končno točko, profil in stopnjo, ki v resnici ne uspe.
Programska oprema ga podpira, torej vozlišče ponuja. Ta sklep je dovolj pogosto napačen, da je pravilo: namestitev SoftEther lahko omogoči poljubno podmnožico svojih združljivih načinov povezovanja, javno vozlišče pa je namestitev z lastnikom in konfiguracijo. S čim se lahko povežete, je odvisno od tega vozlišča, ne od seznama funkcij projekta, ki ga izvaja. Ravno v vrzeli med obema v resnici živi večina zahtevkov „protokol je pokvarjen“.
Kaj seznam projekta v resnici obljublja
Protokolarne funkcije projekta opisujejo, česa je strežnik zmožen. Dano vozlišče omogoči nekatere od teh poslušalcev in drugih ne, upravljavec pa lahko ta nabor spremeni, ne da bi se dotaknil različice programske opreme. Zato se dve vozlišči iste gradnje obnašata različno, profil, ki deluje proti enemu, pa ne dokazuje ničesar o naslednji tarči. Lasten seznam vozlišča pri izbiri, kam se povezati, prevlada nad stranjo projekta.
Seznam berite kot pet polj, ne kot meni: končna točka, vrata, prenos, družina protokolov in metoda preverjanja pristnosti. Javno vozlišče, ki oglašuje SSTP vam je povedalo o poslušalcu na vratih; ni vam povedalo, katero potrdilo predstavlja ali ali vaš račun tam deluje. Primerjava teh petih polj z vašim profilom je hitrejša od kakršnega koli ponovnega nameščanja odjemalca in daje pisno pričakovanje, ki ga lahko pozneje preizkusite.
Uskladite profil s končno točko, ki jo navaja
Izvorni vnos SoftEther ni samodejno konfiguracija OpenVPN, tudi ko se oba pojavita na eni strani ponudnika pod enim naslovom. Ko vozlišče objavi tako poslušalec TCP kot UDP za OpenVPN, ju obravnavajte kot dve končni točki: profil, urejen z enega na drugega, kaže na poslušalec, ki ga ni nihče omogočil. Oznaka prenosa v datoteki je del naslova, ne kozmetična nastavitev.
To, da odjemalec sprejme uvoženo datoteko, dokazuje, da se datoteka razčleni. Ne pove ničesar o tem, ali na drugi strani čaka oddaljeni poslušalec, zato je prvi poskus povezave pravi preizkus. Primerjajte vrstico remote v profilu z oglaševanim gostiteljem in vrati vozlišča, preden krivite protokol.
Preverite stopnjo, ki ne uspe
Gostitelj, ki odgovarja na spletni promet, lahko še vedno nima predvidene storitve VPN, gostitelj, ki zavrača en protokol, pa ni nujno nedosegljiv za vse. Ti dve napaki pošljeta ljudi v nasprotni smeri istega popoldneva. Eden lovi požarni zid, ki je v redu; drugi znova namesti odjemalca, ki nikoli ni bil težava. Preverite vsako pot posebej, da odgovor opiše en poslušalec in ne celega gostitelja.
Teh pet preverjanj pokriva običajne metode javnih vozlišč. Izvajajte jih iz istega omrežja, ki ga uporablja odjemalec, ker je filtrirana vrata od daleč videti enako kot manjkajoč poslušalec.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Rezultat | Stopnja | Kaj izključuje |
|---|---|---|
| Povezava zavrnjena ali čas je potekel | Prenos | Poslušalec manjka, je filtriran ali napačna vrata |
| Napaka rokovanja TLS ali identitete | Potrdilo | Razpoložljivost protokola; poslušalec je odgovoril |
| AUTH_FAILED ali zavrnitev računa | Preverjanje pristnosti | Končna točka; težava je v poverilnicah |
| UDP 500 in 4500 molčita | Pogajanja IPsec | ESP in L2TP sta blokirana pred preverjanjem pristnosti |
Vsako opaženo napako povežite z njeno vrstico, preden karkoli spremenite. Napaka identitete TLS dokazuje, da poslušalec obstaja, zato bi prepisovanje profila na drug protokol zavrglo delujoč dokaz. Zavrnjena povezava dokazuje le, da ta vrata niso odgovorila, kar je veliko ožja trditev kot „vozlišče ne podpira OpenVPN“.
Shranite napako, preden karkoli spremenite
Zapišite natančen rezultat: potek časa, napaka identitete potrdila, zavrnitev računa in zavrnitev na ravni aplikacije so štirje različni izidi. Le prvi se nanaša na nedostopen protokol, le zadnji pa na dovoljenje po uspešni povezavi. Ponastavitev odjemalca ali zamenjava protokolov uniči to razlikovanje, ker naslednja napaka pride z drugo zgodovino in brez osnovne črte za primerjavo.
Ne oslabite preverjanja, da bi bil nezdružljiv profil videti delujoč. Onemogočeno preverjanje potrdila spremeni jasno napako identitete v povezavo z nečim, kamor se niste nameravali priti, in posledični uspeh je slabši od prvotne napake, ker skrije, katera stopnja je bila napačna.
Preverite znova za vsako vozlišče, vsakič
Izvorne možnosti SSL, OpenVPN, L2TP/IPsec in SSTP na seznamu javnih vozlišč opisujejo konfiguracijo tega vozlišča v tistem trenutku. Ista programska oprema drugje lahko predstavi drugačen nabor, ponudnik pa lahko umakne poslušalec med vašim zaznamkom in naslednjim poskusom. Stare opombe opisujejo stare namestitve.
Zapišite preverjeni profil z njegovo končno točko in metodo, nato preiskavo ponovite, ko se vozlišče spremeni ali povezava začne ne uspevati. Specifikacija protokola SoftEther je referenca za to, kaj programska oprema zmore; lasten seznam vozlišča je referenca za to, kaj počne. Držite oba dokumenta ločeno in diagnoza postane krajša.