SSTP прво проверава сервер, а корисника тек касније

SSTP клијент може завршити TLS и ипак одбити корисника секунду касније. Тај редослед није грешка, то је протоколни стек: прво безбедност преноса, затим аутентификација корисника. Пошто две фазе не успевају са различитим порукама, потребне су им и различите поправке. Читање која је фаза произвела грешку већи је део дијагнозе.

Поуздан сертификат доказује крајњу тачку; о налогу не говори ништа.

Шта TLS руковање успоставља

Клијент проверава сертификат који сервер представља према свом складишту поверења, траженом имену хоста, прозору важности и свакој додатној политици коју платформа примењује. То штити везу са намераваном крајњом тачком. Али не доказује да је одређени налог омогућен, није истекао или је овлашћен за даљински приступ. То су одвојена питања која касније поставља друга компонента.

Зато је уклањање провера сертификата да би се стигло до позива за пријаву погрешна поправка. Добијате позив за пријаву на вези коју не можете проверити. Грешка сертификата припада имену хоста, сату, ланцу или конфигурацији поверења.

Шта додају SSTP и PPP одозго

SSTP ради преко HTTPS-а и носи PPP у себи, са сопственом разменом контроле око везе. Затим PPP извршава своје фазе везе и аутентификације, а метод аутентификације зависи од политике сервера и могућности клијента. PAP, CHAP, MS-CHAPv2 и EAP су све опције аутентификације PPP са веома различитим својствима. Провера корисника у VPN-у је та PPP фаза, а не TLS слој испод ње.

Одбијање корисника стога може значити акредитиве, ограничење налога или неслагање методе.

Разлог на страни сервера много је кориснији од ресетовања сваке тајне у профилу. Догађај онемогућеног налога и неуспех преговора о методи изгледају слично на клијенту и немају ништа заједничко на серверу.

Ускладите грешку са фазом

Проверите да ли веза достиже TLS, затим SSTP HTTP размену, затим PPP фазу. Држите временске ознаке у записима поравнате између покушаја да се ранији неуспех не помеша са каснијим успехом. Клијент који бележи два покушаја у једном прозору иначе ће изгледати као да је пао у последњој достигнутој фази. Читајте прву релевантну грешку, а не последњи ред.

Исто поравнање је важно на страни сервера, где су запис аутентификације и дневник преноса често одвојени фајлови са одвојеним сатовима. Два минута разлике довољна су да очигледан узрок изгледа немогућ.

После пријаве, ауторизација је и даље одвојена

Успешна пријава не даје сваки приватни ресурс. Руте одређују шта је доступно, DNS одређује шта се разрешава, а свака услуга и даље примењује сопствене дозволе. Сесија приказана као повезана је изјава о тунелу, не о дељењу фајлова. Када корисник може да се повеже, а не може да достигне један хост, фаза тунела је већ завршена.

То је исто слојевитост коју је показало руковање, један ниво више.

Задржите опоравак налога у оквиру процеса који подржава оператер, уместо да мењате подешавања преноса као одговор на изричито одбијање корисника. Мењање преноса да би се поправио онемогућен налог је врста поправке која изгледа да ради када се налог поново омогући из неповезаног разлога.