SSTP на Linux-у не успева пре пријаве? Проверите делове извршавања

Инсталирате додатак SSTP, радио дугме се појављује у уређивачу мреже, унесете мрежни пролаз и корисничко име, и профил не успева са општом грешком пре него што уопште затражи лозинку. Ништа у том редоследу није необично, и ништа у њему не доказује да је софтвер тунела инсталиран. SSTP веза се саставља од делова који се испоручују одвојено: додатак за VPN који NetworkManager може да покрене, клијентски програм SSTP који поседује TLS и PPP сесију, PPP демон испод њега, и складиште тајни које веза сме да чита.

Шта ставка менија додаје, а шта не

Додатак доприноси опис услуге који говори NetworkManager-у како да га покрене, и на већини дистрибуција мали уређивач који црта формулар. То је цео обим ставке менија. Клијентски програм долази из другог изворног пакета, и README самог додатка ту поделу каже директно: то је додатак, не клијент.

Клијенту је затим потребан PPP, јер SSTP преноси PPP сесију унутар TLS везе. Без pppd тунел може да заврши TLS руковање и ипак умре на првом контролном оквиру, што изгледа као проблем са акредитивима и није. На Debian-у и Ubuntu-у делови долазе као network-manager-sstp, sstp-client и ppp, а инсталирање само првог је најчешћи разлог зашто формулар прихвата сва поља а веза никада не заврши.

Избор радне површине додаје још једну поделу. Plasma уређује профиле преко plasma-nm, коме је потребна сопствена SSTP компонента и који чита исти опис услуге, па је уређивач без ставке SSTP и CLI који добро прави профиле половина уређивача која недостаје, а не покварено извршно окружење.

Прочитајте прву неуспешну фазу пре него што било шта поново инсталирате

Неуспешан покушај SSTP пролази кроз фазе у фиксном редоследу, и фаза која није успела говори вам који део да погледате.

Покретање додатка је прво, и неуспех тамо даје поруку о VPN услузи, не о серверу. Затим долази TCP веза ка порту 443; одбијање или истек времена овде је проблем доступности, не TLS-а. Потом TLS руковање и провера идентитета сервера, затим PPP преговори и провера налога, и на крају додела адреса и руте. Посматрајте journalctl -f -u NetworkManager док једном активирате профил, и читајте први конкретан ред, не последњи општи.

Тај редослед објашњава често погрешно читање. Жалба на сертификат се пријављује пре слања било каквих акредитива, па промена лозинке не може да помогне; одбијање PPP провере долази после успешног руковања, па ни замена сертификата не помаже. Задржите прву грешку и њену фазу, и имате дијагнозу, не симптом.

Поверење у сертификат и пријава на налог су две одвојене капије

Руковање проверава да је сервер онај до ког сте хтели да стигнете, користећи издаваоца и име које сте конфигурисали. Тек после тога PPP слој нуди ваше корисничко име и лозинку методи провере мрежног пролаза. Дакле две независне провере, оцењиване у фиксном редоследу, са одвојеним подешавањима за сваку. Ништа унесено у поље лозинке не може утицати на прву.

Профил који верује погрешном издаваоцу не успева на првој капији са грешком идентитета. Профил који му верује исправно али чува застарелу лозинку не успева на другој са одбијањем провере. Оба изгледају као VPN који се неће повезати, и ниједан се не поправља леком оног другог.

Добијте очекиваног издаваоца и име сервера од оног који управља мрежним пролазом уместо да погађате подразумеване вредности уређивача, и запишите захтевану методу провере. Ако организацији треба метода коју додатак не може да изрази, честан одговор је одобрен клијент који може, не профил са искљученом провером да би грешка нестала.

Нека један власник држи профил и тајне

Када профил постоји, активирајте га преко NetworkManager-а и пустите том менаџеру да поседује добијене руте и промене резолвера. Покретање другог самосталног SSTP клијента док NetworkManager већ води везу даје вам два скупа рута, две DNS конфигурације и сесију за отклањање грешака без једног извора истине.

И тајне имају власника. Веза означена за системску употребу чува акредитиве другачије од оне ограничене на вашу корисничку сесију, а профил направљен ручно у датотеци са кључевима можда неће бити читљив агенту за тајне који очекује да лозинку достави интерактивно. Проверите какав контекст профил очекује пре него што поново унесете лозинку која никада није била проблем. Активирање истог профила из терминала са nmcli је најбржи тест, јер захтев који се никада не појави говори вам да агент већ није имао шта да понуди.

Проверите тунел, руте и резолвер одвојено

Показатељ повезаности тврди само да се веза подигла. Проверите одредиште које вам заиста треба, руту која га носи и резолвер који се користи, једно по једно; свако може бити погрешно док су друга два у реду.

За неуспешан покушај забележите верзију сваког дела и очишћен текст грешке. Поделите њих, не цео профил, јер профил може да садржи унапред подељену тајну и ваше сачуване акредитиве.

На крају, искључите се и поново повежите, па једном поново покрените. Ако профил ради само при првом покушају, проблем је у руковању тајнама или у власништву рута, и обоје је јефтиније поправити сада него усред радног дана.