Cilat protokolë ofron vërtet ky nyje VPN publik?
Fakti që softueri i serverit mbështet një protokoll nuk do të thotë që kjo nyje e ka aktivizuar atë. Kontrolloni pikën fundore, profilin dhe fazën që dështon vërtet.
Softueri e mbështet, prandaj nyja e ofron. Ky përfundim është i gabuar mjaft shpesh sa të jetë rregull: një vendosje SoftEther mund të aktivizojë çdo nëngrup të metodave të tij të pajtueshme të lidhjes, dhe një nyje publike është një vendosje me pronar dhe konfigurim. Me çfarë mund të lidheni varet nga ajo nyje, jo nga lista e funksioneve të projektit që ajo ekzekuton. Pikërisht në hendekun mes të dyjave jetojnë në të vërtetë shumica e tiketave «protokolli është prishur».
Çfarë premton vërtet lista e projektit
Funksionet e protokollit të projektit përshkruajnë se për çfarë është i aftë serveri. Një nyje e caktuar aktivizon disa prej atyre dëgjuesve dhe jo të tjerë, dhe operatori mund ta ndryshojë atë grup pa prekur versionin e softuerit. Prandaj dy nyje në të njëjtin ndërtim sillen ndryshe, dhe një profil që funksionon kundër njërës nuk provon asgjë për objektivin tjetër. Lista e vetë nyjes ka më shumë peshë se faqja e projektit kur zgjidhni ku të lidheni.
Lexojeni listën si pesë fusha, jo si menu: pikë fundore, portë, transport, familje protokollesh dhe metodë vërtetimi. Një nyje publike që reklamon SSTP ju ka thënë për një dëgjues në një portë; nuk ju ka thënë cilin certifikatë paraqet apo nëse llogaria juaj funksionon atje. Krahasimi i këtyre pesë fushave me profilin tuaj është më i shpejtë se çdo sasi riinstalimi i klientit, dhe prodhon një pritshmëri të shkruar që mund ta provoni më vonë.
Përputhni profilin me pikën fundore që ai emërton
Një zë vendas SoftEther nuk është automatikisht një konfigurim OpenVPN, edhe kur të dyja shfaqen në një faqe të një ofruesi nën një titull. Kur një nyje publikon si dëgjues TCP ashtu edhe UDP për OpenVPN, trajtojini si dy pika fundore: një profil i redaktuar nga njëri në tjetrin tregon një dëgjues që askush nuk e aktivizoi. Etiketa e transportit në skedar është pjesë e adresës, jo një rregullim kozmetik.
Fakti që klienti pranon një skedar të importuar vërteton se skedari analizohet. Nuk thotë asgjë për atë nëse një dëgjues i largët pret në anën tjetër, dhe për këtë arsye përpjekja e parë për lidhje është testi i vërtetë. Krahasoni rreshtin remote të profilit me hostin dhe portën e shpallur të nyjes përpara se të fajësoni protokollin.
Hulumtoni fazën që dështon
Një host që u përgjigjet trafikut të uebit mund të mos ketë ende shërbimin e synuar VPN, dhe një host që refuzon një protokoll nuk është domosdoshmërisht jashtë funksionit për të gjithë. Këto dy gabime i dërgojnë njerëzit në drejtime të kundërta të njëjtën pasdite. Njëri ndjek një firewall që është në rregull; tjetri riinstalon një klient që nuk ishte kurrë problemi. Hulumtoni çdo rrugë veçmas, që përgjigja të përshkruajë një dëgjues dhe jo të gjithë hostin.
Këto pesë kontrolle mbulojnë metodat e zakonshme të nyjeve publike. Ekzekutojini nga i njëjti rrjet që përdor klienti, sepse një portë e filtruar duket nga larg njësoj si një dëgjues që mungon.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Rezultati | Faza | Çfarë përjashton |
|---|---|---|
| Lidhja u refuzua ose koha skadoi | Transporti | Dëgjuesi mungon, është filtruar ose porta është e gabuar |
| Gabim shtrëngimi duarsh TLS ose identiteti | Certifikata | Disponueshmëria e protokollit; dëgjuesi u përgjigj |
| AUTH_FAILED ose refuzim llogarie | Vërtetimi | Pika fundore; problemi është te kredencialet |
| UDP 500 dhe 4500 heshtin | Negocimi IPsec | ESP dhe L2TP bllokohen para vërtetimit |
Lidhni çdo gabim të vëzhguar me rreshtin e tij përpara se të ndryshoni diçka. Një dështim identiteti TLS provon që dëgjuesi ekziston, prandaj rishkrimi i profilit në një protokoll tjetër do të hidhte poshtë një provë funksionale. Një lidhje e refuzuar provon vetëm që kjo portë nuk u përgjigj, që është një pohim shumë më i ngushtë sesa «nyja nuk e mbështet OpenVPN».
Ruajeni gabimin përpara se të ndryshoni diçka
Shkruani rezultatin e saktë: skadimi i kohës, një dështim identiteti certifikate, një refuzim llogarie dhe një mohim në nivel aplikacioni janë katër rezultate të ndryshme. Vetëm i pari ka të bëjë me një protokoll të padisponueshëm, dhe vetëm i fundit ka të bëjë me lejen pas një lidhjeje të suksesshme. Rivendosja e klientit ose ndërrimi i protokolleve e shkatërron atë dallim, sepse dështimi tjetër vjen me një histori tjetër dhe pa një vijë bazë për krahasim.
Mos e dobësoni verifikimin për ta bërë një profil të papajtueshëm të duket sikur funksionon. Një kontroll certifikate i çaktivizuar e kthen një dështim të qartë identiteti në një lidhje me diçka ku nuk kishit ndërmend të arrinit, dhe suksesi që rezulton është më i keq se gabimi origjinal, sepse fsheh se cila fazë ishte e gabuar.
Rikontrolloni për çdo nyje, çdo herë
Opsionet vendase SSL, OpenVPN, L2TP/IPsec dhe SSTP në një listë nyjesh publike përshkruajnë konfigurimin e asaj nyje në atë moment. I njëjti softuer diku tjetër mund të paraqesë një grup tjetër, dhe një ofrues mund të tërheqë një dëgjues mes faqeshënuesit tuaj dhe përpjekjes suaj të radhës. Shënimet e vjetra përshkruajnë vendosje të vjetra.
Regjistroni profilin e verifikuar me pikën e tij fundore dhe metodën, pastaj përsëritni hulumtimin kur nyja ndryshon ose lidhja fillon të dështojë. Specifikimi i protokollit SoftEther është referenca për atë që softueri mund të bëjë; lista e vetë nyjes është referenca për atë që bën ajo. Mbani dy dokumentet të ndara dhe diagnoza bëhet më e shkurtër.