Vrata 443 odgovarjajo, SSTP še vedno ne uspe: katera stopnja se je zlomila?

Dokončanje rokovanja TCP na vrata 443, medtem ko se predor nikoli ne zgradi, dokazuje eno stvar, in to je majhna stvar. Nekaj posluša in je pripravljeno sprejeti povezavo na tem naslovu. Ne prepozna storitve, potrdila, ki bo predstavljeno, ali tega, kaj se zgodi po prvih bajtih.

Med tem rokovanjem in delujočim predorom so štiri stopnje, in vsaka ustvari drugačno napako.

Odprta vrata opisujejo samo eno plast

Sprejeti povezavo TCP pomeni, da proces poseduje vtičnico in da pot dovoljuje rokovanje. To ne pove ničesar o tem, ali je ta proces strežnik SSTP, ali ima potrdilo, veljavno za ime v vašem profilu, ali bo odobril vaš račun. Spletni strežnik na istem naslovu se na rokovanje odzove brezhibno in nato na vašo zahtevo SSTP odgovori z napako HTTP. Vse nad tem rokovanjem ostane nepreizkušeno.

Preizkus vrat obravnavajte kot najcenejši možni filter, ne kot razsodbo. Njegova vrednost je v tem, da odstrani celotno kategorijo napak, ne v tem, da potrdi vse nad seboj.

Zamenjevanje obojega je razlog, da ljudje znova namestijo odjemalce po preizkusu, ki ni nikoli preučil resnične težave odjemalca.

Ločite štiri stopnje z dokazi

Stopnje so dosegljivost transporta, preverjanje TLS, izmenjava SSTP prek HTTPS in preverjanje PPP znotraj predora. Pot, ki prestane prvo in ne uspe pri četrti, potrebuje popravek poverilnic; tista, ki ne uspe pri drugi, potrebuje popravek potrdila ali imena. Ti popravki nimajo nič skupnega, in izbira napačnega zapravi prekinitev.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Tretji ukaz si zasluži pozorno branje. 200 z običajne spletne strani vam pove, da spletna storitev obstaja; ne pove, da bo zahteva SSTP razumljena. 404 z istega naslova je enako neinformativno glede VPN. Samo dnevnik odjemalca vam pove, katero od štirih stopenj je dosegel.

Bodite pozorni, katero ime je uporabil vsak ukaz. Potrdilo se izbere po imenu, ki ga pošljete, zato je neskladje med profilom in preizkusom neskladje, ki ste ga vnesli sami. Zapis tega imena ob rezultatu prepreči poznejšo zmedo.

Delni uspeh berite v pravo smer

Posrednik lahko dovoli običajno brskanje in zavrne poznejšo izmenjavo, zato lahko posrednik, ki deluje za spletna mesta, še vedno ne uspe za predor. Isti vzorec se pojavi, ko je potrdilo veljavno za ime brskalnika, ne pa za ime, nastavljeno v profilu: brskalnik je zadovoljen, odjemalec pa ne, in oba imata prav glede tega, kar sta preverila.

Med diagnozo pustite preverjanje strežnika vključeno. Če ga izklopite, se neskladje potrdila spremeni v uspešno rokovanje in skrije edini dokaz, ki bi pojasnil napako.

Če isti profil deluje iz drugega omrežja, je razlika odvisna od poti. To zoži iskanje na posrednike, ne da bi povedalo katerega, in je še vedno koristen korak naprej. Zapišite omrežje, ki ste ga uporabili, ker je primerjava brez njega brez vrednosti.

Nato preizkusite aplikacijo, ne le seje

Ko seja obstaja, preverite predvideno pot, razreševanje imen in dovoljenje storitve pri odjemalcu, ki jih potrebuje. Povezan predor ima lahko še vedno manjkajoče posredovanje na oddaljeni strani ali povratno pot, ki ni nikoli obstajala, in te napake so za čakajočo osebo videti natanko kot težava aplikacije.

Vsak sklep držite vezan na stopnjo, ki ga je ustvarila. Odprta vrata imenovati delujoč VPN je način, kako petminutno preverjanje potrdila postane dan ponovne namestitve programske opreme.