SSTP ధృవపత్రం సరిపోలడం లేదు: మీ సర్వర్ చూపించాల్సిన పేరు

SSTP క్లయింట్ TLS ధృవీకరణ విజయవంతమైన తర్వాతే సర్వర్‌ను ఆమోదిస్తుంది, మరియు ఆ తనిఖీ ఒక పేరు, ఒక గొలుసు మరియు ఒక లక్ష్యాన్ని పోలుస్తుంది. పేరు కనెక్షన్ ప్రొఫైల్ నుండి వస్తుంది, మీరు యాదృచ్ఛికంగా పింగ్ చేయగల చిరునామా నుండి కాదు. మూడింటిలో ఒకటి సరిపోలకపోతే, క్లయింట్ ధృవపత్ర సమస్యను నివేదించి లాగిన్ ప్రాంప్ట్‌ను ఎప్పటికీ చేరుకోదు.

ఏది తనిఖీ చేయాలో ప్రొఫైల్ పేరు నిర్ణయిస్తుంది

SSTP, TCP 443 పై TLS నడుపుతుంది, కాబట్టి క్లయింట్ ఏదైనా ఇతర TLS క్లయింట్‌లా ప్రవర్తిస్తుంది: ప్రొఫైల్ నుండి హోస్ట్‌నేమ్‌ను తీసుకొని, ఆ పేరును అభ్యర్థించి, దానితో ధృవపత్రాన్ని పోలుస్తుంది. ప్రొఫైల్‌లో IP చిరునామా టైప్ చేస్తే, పోలిక IP చిరునామాల పోలికగా మారుతుంది, దాన్ని చాలా సర్వర్ ధృవపత్రాలు నెరవేర్చవు.

అందువల్ల బ్రౌజర్ పరీక్ష విజయవంతం కావచ్చు కానీ VPN విఫలమవుతుంది, ఎందుకంటే బ్రౌజర్ ప్రొఫైల్ కంటే వేరే పేరును ఉపయోగించింది. split-horizon DNS VPN హోస్ట్‌నేమ్‌ను అంతర్గత చిరునామాకు పరిష్కరించినప్పుడు బ్రౌజర్ పబ్లిక్ చిరునామాను చేరినప్పుడూ అదే విభజన కనిపిస్తుంది. మొదట ప్రొఫైల్‌ను డాక్యుమెంట్ చేసిన హోస్ట్‌నేమ్‌తో సరిపోల్చి, తర్వాత ధృవపత్రాలను పోల్చండి. అంతకు ముందు మీరు మార్చే మరేదైనా అంచనా.

సర్వర్ ధృవపత్రంలో ఏమి ఉండాలి

ఆధునిక క్లయింట్లు సబ్జెక్ట్ ప్రత్యామ్నాయ నామాల పొడిగింపుతో పోలుస్తాయి, కాబట్టి హోస్ట్‌నేమ్ అక్కడ DNS నమోదుగా ఉండాలి. కేవలం సాధారణ పేరు నేటి ధృవీకరణ స్టాక్‌లకు సరిపోదు, మరియు వైల్డ్‌కార్డ్ ఒక లేబుల్‌ను కవర్ చేస్తుంది, మీరు సృష్టించే ఏదైనా ఉపడొమైన్‌ను కాదు. మూడు ధృవపత్రాలు పరిమితిని చూపుతాయి: సరైన పేరు తప్పు లక్ష్యంతో గుర్తింపును ధృవీకరించి తర్వాత లక్ష్య తనిఖీలో విఫలమవుతుంది, సరైన పేరు మరియు లక్ష్యం కానీ గైర్హాజరు మధ్యవర్తి ధృవపత్రంతో గొలుసులో విఫలమవుతుంది, మరియు సాధారణ పేరులో మాత్రమే ఉన్న పేరు ఆ రెండింటిలో ఏదీ ముఖ్యం కాకముందే విఫలమవుతుంది.

ధృవపత్రానికి సర్వర్ ప్రామాణీకరణ లక్ష్యం కూడా అవసరం: మైక్రోసాఫ్ట్ యొక్క SSTP వివరణలో పేర్కొన్న విస్తరిత కీ వినియోగ విలువ, అంటే ఆబ్జెక్ట్ గుర్తింపుదారు 1.3.6.1.5.5.7.3.1 తో serverAuth. కీ వినియోగం మరియు చెల్లుబాటు అయ్యే గొలుసు సమితిని పూర్తి చేస్తాయి. సర్వర్‌పై ఉన్న, సరైన పేరుకు జారీ చేయబడినా క్లయింట్ ప్రామాణీకరణకు మాత్రమే ఉన్న ధృవపత్రం కూడా విఫలమవుతుంది.

లాగిన్ వివరాలకు ముందు గొలుసు మరియు గడియారాన్ని తనిఖీ చేయండి

సమయం మరియు విశ్వాస వైఫల్యాలు పేరు సరిపోలకపోవడం లాంటి దృశ్య ఫలితాన్ని ఇస్తాయి, రెండింటినీ పాస్‌వర్డ్ సమస్య కంటే చవకగా నిర్ధారించవచ్చు. సర్వర్ గడియారాన్ని మరియు క్లయింట్ గడియారాన్ని తనిఖీ చేసి, తర్వాత క్లయింట్ చూసే విధంగా గొలుసును చదవండి:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

మొదటి ఆదేశం పేరు, చెల్లుబాటు విండో మరియు క్లయింట్ పోల్చబోయే ప్రత్యామ్నాయ పేర్లను ముద్రిస్తుంది. రెండవది సమర్పించిన గొలుసుతో ధృవీకరణ లోపాలను నివేదిస్తుంది, మరియు అక్కడే గైర్హాజరు మధ్యవర్తి ధృవపత్రం కనిపిస్తుంది. Windows‌లో సమయ సేవా ప్రశ్న గడియారం సరిచేయబడుతోందా లేదా జారిపోయిందా అని చెబుతుంది.

అంతర్గత CA మరో షరతును జోడిస్తుంది: క్లయింట్ ఆ CAను విశ్వసించాలి. సంస్థాగత మూలాన్ని దాని ఆమోదిత పంపిణీ మార్గం ద్వారా ఇన్‌స్టాల్ చేయండి, ప్రత్యామ్నాయ ధృవపత్రాన్ని అందించే పేజీ నుండి కాదు, ఎందుకంటే ఆ నిర్ణయమే మొత్తం విశ్వాస నమూనా చిన్న రూపం.

సర్వర్ ధృవీకరణ మరియు వినియోగదారు ప్రామాణీకరణ వేర్వేరు వైఫల్యాలతో కూడిన వరుస దశలు. ధృవపత్ర లోపం అంటే క్లయింట్ సర్వర్‌ను ఎప్పుడూ విశ్వసించలేదు, అయితే తిరస్కరించబడిన పాస్‌వర్డ్ అంటే అది సర్వర్‌ను విశ్వసించింది మరియు వివరాలు తప్పుగా ఉన్నాయి. పాస్‌వర్డ్ ప్రాంప్ట్‌ను చేరుకోవడానికి ధృవపత్ర ధృవీకరణను ఆఫ్ చేయడం సరిచేయడం బదులు హామీని తొలగిస్తుంది. మిగిలిన మార్గం పనిచేస్తుందని నిరూపించడానికి, గొలుసును ఇప్పటికే విశ్వసించే క్లయింట్ నుండి అదే హోస్ట్‌నేమ్ మరియు పోర్టును పరీక్షించండి, మరియు అమలు చేసిన ప్రొఫైల్‌ను అలాగే ఉంచండి.

పేరు లేదా ధృవపత్రాన్ని సరిచేసి మళ్లీ పరీక్షించండి

మూడు షరతులు మరమ్మతును నిర్ణయిస్తాయి. ప్రొఫైల్ పేరు తప్పు అయితే, ప్రొఫైల్‌ను సరిచేయండి లేదా గైర్హాజరు పేరును ధృవపత్రంలో చేర్చండి. గొలుసు అసంపూర్ణంగా ఉంటే, మధ్యవర్తి ధృవపత్రాన్ని సర్వర్‌పై ఇన్‌స్టాల్ చేయండి. లక్ష్యం తప్పు అయితే, చుట్టూ ప్యాచ్ చేయడం బదులు మళ్లీ జారీ చేయండి.

మార్పు తర్వాత మద్దతు ఉన్న క్లయింట్‌తో మళ్లీ కనెక్ట్ అయి, లాగిన్ ప్రాంప్ట్ కనిపిస్తుందని, తర్వాత టన్నెల్ పైకి వస్తుందని నిర్ధారించండి. టికెట్‌లో ఉపయోగించిన హోస్ట్‌నేమ్, జారీదారు మరియు గడువు ముగింపు తేదీని నమోదు చేయండి. ఆ నమోదే తదుపరి పునరుద్ధరణను మరో అంతరాయం బదులు ప్రణాళికాబద్ధ పనిగా మారుస్తుంది, మరియు మూడు షరతుల్లో ఏది నిజంగా విరిగిందో తదుపరి వ్యక్తికి చూపుతుంది.