Porta 443 përgjigjet, SSTP ende dështon: cila fazë u thye?

Përfundimi i një shtrëngimi duar TCP drejt portës 443 ndërsa tuneli nuk ndërtohet kurrë provon një gjë, dhe është një gjë e vogël. Diçka po dëgjon dhe është gati të pranojë një lidhje në atë adresë. Nuk identifikon shërbimin, certifikatën që do të paraqesë, as çfarë ndodh pas bajteve të parë.

Katër faza qëndrojnë midis atij shtrëngimi duarsh dhe një tuneli funksional, dhe secila prodhon një gabim të ndryshëm.

Një portë e hapur përshkruan vetëm një shtresë

Pranimi i një lidhjeje TCP do të thotë që një proces zotëron soketin dhe rruga lejon shtrëngimin e duarve. Nuk thotë asgjë nëse ai proces është server SSTP, nëse ka një certifikatë të vlefshme për emrin në profilin tuaj, ose nëse do të autorizojë llogarinë tuaj. Një server web në të njëjtën adresë përgjigjet përsosmërisht shtrëngimit të duarve dhe më pas i përgjigjet kërkesës tuaj SSTP me një gabim HTTP. Gjithçka mbi atë shtrëngim duarsh mbetet e patestuar.

Trajtojeni testin e portës si filtrin më të lirë të mundshëm dhe jo si një verdikt. Vlera e tij është se heq një kategori të tërë dështimesh, jo se konfirmon gjithçka mbi të.

Ngatërrimi i të dyjave është arsyeja pse njerëzit riinstalojnë klientët pas një testi që nuk shqyrtoi kurrë problemin e vërtetë të klientit.

Ndani katër fazat me prova

Fazat janë arritshmëria e transportit, vërtetimi TLS, shkëmbimi SSTP mbi HTTPS dhe vërtetimi PPP brenda tunelit. Një rrugë që kalon të parën dhe dështon në të katërtën kërkon një korrigjim të kredencialeve; një që dështon në të dytën kërkon një korrigjim certifikate ose emri. Këto riparime nuk kanë asgjë të përbashkët, dhe zgjedhja e gabuar e humb ndërprerjen.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Komanda e tretë meriton një lexim të kujdesshëm. Një 200 nga një faqe web e zakonshme ju thotë se ekziston një shërbim web; nuk ju thotë se kërkesa SSTP do të kuptohet. Një 404 nga e njëjta adresë është po aq joinformativ për VPN-në. Vetëm regjistri i klientit ju thotë se cilën nga katër fazat arriti.

Vini re cilin emër përdori secila komandë. Certifikata zgjidhet nga emri që dërgoni, kështu që një mospërputhje midis profilit dhe testit është një mospërputhje që e keni futur vetë. Shkrimi i atij emri pranë rezultatit parandalon konfuzionin më vonë.

Lexoni suksesin e pjesshëm në drejtimin e duhur

Një ndërmjetës mund të lejojë shfletimin e zakonshëm dhe të refuzojë shkëmbimin e mëvonshëm, prandaj një proxy që funksionon për faqet web mund të dështojë për një tunel. I njëjti model shfaqet kur një certifikatë është e vlefshme për një emër shfletuesi, por jo për emrin e konfiguruar në profil: shfletuesi është i kënaqur dhe klienti jo, dhe të dy kanë të drejtë për atë që kontrolluan.

Mbajeni vërtetimin e serverit të aktivizuar ndërsa e diagnostikoni këtë. Çaktivizimi i tij e kthen një mospërputhje certifikate në një shtrëngim duarsh të suksesshëm dhe fsheh provën e vetme që do të shpjegonte dështimin.

Nëse i njëjti profil funksionon nga një rrjet tjetër, ndryshimi varet nga rruga. Kjo e ngushton kërkimin te ndërmjetësit pa thënë cilin, dhe është ende një hap i dobishëm përpara. Regjistroni rrjetin që përdorët, sepse krahasimi nuk vlen asgjë pa të.

Pastaj testoni aplikacionin, jo vetëm sesionin

Pasi ekziston një sesion, verifikoni rrugën e synuar, zgjidhjen e emrave dhe lejen e shërbimit nga klienti që i nevojiten. Një tunel i lidhur mund të ketë ende një përcjellje që mungon në anën e largët ose një rrugë kthimi që nuk ekzistoi kurrë, dhe ato dështime duken saktësisht si një problem aplikacioni për personin që pret.

Mbajeni çdo përfundim të lidhur me fazën që e prodhoi. Të quash një portë të hapur si VPN funksionale është mënyra se si një kontroll certifikate pesë minutash bëhet një ditë riinstalimi softueri.