Истек времена SSTP или грешка сертификата: како их разликовати

Веза SSTP пада на два начина која са корисникове столице изгледају исто, а поправка за сваки лежи на другом слоју. Истек времена значи да потребна размена никада није завршена; грешка сертификата значи да је идентитетски материјал стигао и да је одбијен. Ако друго третирате као прво, идете ка заштитним зидовима и лозинкама које никада нису биле проблем. Разликујући доказ је у самом дневнику клијента, ако га прочитате пре него што било шта промените.

Два неуспеха, две различите размене

SSTP носи тунел унутар сесије облика HTTPS, зато преживљава у мрежама које не дозвољавају ништа осим 443. Клијент заврши TLS руковање, пошаље HTTP захтев методом специфичном за протокол, а затим тунел тече унутар тог тока. Неуспех на било ком од тих корака зауставља везу, и само каснији укључују акредитиве.

Тај редослед је дијагноза. Ако се TLS руковање никада не заврши, никакве акредитиве нису послате, па ресетовање лозинке не може помоћи. Ако се руковање заврши и затим заглави, идентитет је прихваћен и нешто на путу захтева га је одбило. Ако руковање падне са поруком провере, сервер је одговорио и клијенту се није допало оно што је чуо. Три исхода, три слоја.

Линија у дневнику обично каже у ком сте од три случаја, зато је вреди забележити пре прве промене.

Истек времена значи да фаза никада није завршена

Почните са разрешавањем имена и TCP доступношћу, јер истек времена тамо изгледа идентично као каснији истек. Провера порта која јави да је 443 отворен доказује да је слушалац прихватио везу и ништа више.

Следећи осумњичени је пут, а не домаћин. Проксији и заштитни зидови свесни апликација понекад одбију методу захтева коју SSTP користи или испусте ток који остаје отворен сатима, а оба понашања изгледају као истек времена са клијентове стране. Обична HTTPS страница коју служи исти домаћин учитава се беспрекорно док је метода тунела одбијена, зато прегледање крајње тачке доказује тако мало. Тестирајте са мреже без проксија да раздвојите та два случаја.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Истек времена пре било каквог одговора друге стране не говори ништа о налогу, а промена лозинке у том тренутку само додаје променљиву.

Грешка сертификата значи да је идентитет одбијен

Овде је сервер заиста одговорио, па мрежа ради и питање се сели на идентитет. Упоредите име са којим се клијент јавља са именима која сертификат стварно тврди, затим проверите датуме важности и ланац издаваоца.

Приватни CA коме клијент не верује производи исту класу грешке као истекао сертификат, а тако и сат који касни сатима. Бирање сирове адресе ствара нову неподударност, јер сертификат тврди имена, а не адресе. У управљаном распоређивању затражите предвиђену конфигурацију поверења од њеног администратора уместо да прихватите заменски корен који нуди страница грешке. Валидација остаје укључена док поправљате узрок.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Држите успешну TLS фазу нетакнутом кад прође, јер њено касније поништавање скрива која је промена стварно поправила тунел.

Где се то двоје побрка

Оба неуспеха изгледају као веза која се не диже, а оба долазе након што је корисник променио нешто неповезано. Та случајност чини погрешну поправку уверљивом неко време.

Две навике их држе одвојенима. Забележите клијентов дневник пре него што дотакнете конфигурацију, да прво стање остане сачувано. Мењајте један слој по покушају, да следећи резултат припада познатој променљивој. Провера порта и прегледач су делимична запажања, а не цео след, и ниједно не замењује клијентов сопствени извештај. Ниједна навика ништа не кошта, а обе скраћују истрагу.

Питање сертификата и питање доступности документовани су одвојено с разлогом.

Поново тестирајте правим клијентом, затим идите према унутра

Кад је конкретна исправка на месту, покушајте поново са стварним SSTP клијентом и правим профилом, а не са картицом прегледача.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Ако се сесија повеже, а ресурси и даље не раде, тунел више није осумњичени: пређите на усмеравање, DNS и приступ услугама. То је друга истрага са другим доказима. Очување радних TLS и аутентификацијских фаза спречава да то постане понављање прве. Запишите у тикет фазу која је пала, јер ће следећа особа иначе опет почети од врха.