SSTP సమయం ముగింపా లేక సర్టిఫికెట్ లోపమా: రెండింటినీ ఎలా వేరు చేయాలి

SSTP కనెక్షన్ వినియోగదారు కుర్చీ నుండి ఒకేలా కనిపించే రెండు విధాలుగా విఫలమవుతుంది, ప్రతి దాని మరమ్మతు వేరే పొరలో ఉంటుంది. సమయం ముగింపు అంటే అవసరమైన మార్పిడి ఎప్పుడూ పూర్తి కాలేదు; సర్టిఫికెట్ లోపం అంటే గుర్తింపు పదార్థం వచ్చి తిరస్కరించబడింది. రెండవదాన్ని మొదటిదిగా భావిస్తే, ఎప్పుడూ సమస్య కాని ఫైర్‌వాల్‌లు మరియు పాస్‌వర్డ్‌ల వైపు మీరు వెళ్తారు. వేరు చేసి చూపే సాక్ష్యం క్లయింట్ స్వంత లాగ్‌లో ఉంది, ఏదైనా మార్చే ముందు దాన్ని చదివితే.

రెండు వైఫల్యాలు, రెండు వేర్వేరు మార్పిడులు

SSTP HTTPS ఆకారపు సెషన్ లోపల సొరంగాన్ని మోసుకెళ్తుంది, అందుకే 443 తప్ప మరేదీ అనుమతించని నెట్‌వర్క్‌లలోనూ అది నిలబడుతుంది. క్లయింట్ TLS హ్యాండ్‌షేక్‌ను పూర్తి చేస్తుంది, ప్రోటోకాల్‌కు ప్రత్యేకమైన పద్ధతిలో HTTP అభ్యర్థనను పంపుతుంది, ఆ తర్వాత సొరంగం ఆ ప్రవాహంలో నడుస్తుంది. ఆ దశల్లో ఏదైనా విఫలమైతే కనెక్షన్ ఆగిపోతుంది, చివరి దశలు మాత్రమే లాగిన్ సమాచారానికి సంబంధించినవి.

ఆ క్రమమే నిర్ధారణ. TLS హ్యాండ్‌షేక్ ఎప్పుడూ పూర్తి కాకపోతే ఎలాంటి లాగిన్ సమాచారం పంపబడలేదు, కాబట్టి పాస్‌వర్డ్ రీసెట్ సహాయపడదు. హ్యాండ్‌షేక్ పూర్తయి ఆపై నిలిచిపోతే, గుర్తింపు ఆమోదించబడింది మరియు అభ్యర్థన మార్గంలో ఏదో దాన్ని తిరస్కరించింది. హ్యాండ్‌షేక్ ధ్రువీకరణ సందేశంతో విఫలమైతే, సర్వర్ సమాధానమిచ్చింది మరియు క్లయింట్‌కు విన్నది నచ్చలేదు. మూడు ఫలితాలు, మూడు పొరలు.

లాగ్ లైన్ సాధారణంగా మీరు మూడింటిలో ఏది అని చెబుతుంది, కాబట్టి మొదటి మార్పుకు ముందు దాన్ని నమోదు చేయడం విలువైనది.

సమయం ముగింపు అంటే ఒక దశ ఎప్పుడూ పూర్తి కాలేదు

పేరు పరిష్కారం మరియు TCP చేరువతో ప్రారంభించండి, ఎందుకంటే అక్కడి సమయ ముగింపు తర్వాతి సమయ ముగింపులాగే కనిపిస్తుంది. 443 తెరిచి ఉందని నివేదించే పోర్ట్ తనిఖీదారు ఒక శ్రోత కనెక్షన్‌ను అంగీకరించిందని మాత్రమే నిరూపిస్తుంది, అంతకు మించి ఏమీ లేదు.

తదుపరి అనుమానితుడు హోస్ట్ కాదు, మార్గం. ప్రాక్సీలు మరియు అనువర్తనాలను తెలిసిన ఫైర్‌వాల్‌లు కొన్నిసార్లు SSTP ఉపయోగించే అభ్యర్థన పద్ధతిని తిరస్కరిస్తాయి, లేదా గంటల తరబడి తెరిచి ఉండే ప్రవాహాన్ని పడేస్తాయి, రెండు ప్రవర్తనలూ క్లయింట్ వైపు నుండి సమయ ముగింపులాగే కనిపిస్తాయి. అదే హోస్ట్ అందించే సాధారణ HTTPS పేజీ సొరంగ పద్ధతి తిరస్కరించబడుతున్నప్పుడూ పూర్తిగా లోడ్ అవుతుంది, కాబట్టి చివరి బిందువుకు బ్రౌజ్ చేయడం చాలా తక్కువ నిరూపిస్తుంది. ఆ రెండు సందర్భాలను వేరు చేయడానికి ప్రాక్సీ లేని నెట్‌వర్క్ నుండి పరీక్షించండి.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

ప్రత్యర్థి ఏ ప్రతిస్పందనకైనా ముందున్న సమయ ముగింపు ఖాతా గురించి ఏమీ చెప్పదు, ఆ క్షణంలో పాస్‌వర్డ్ మార్చడం ఒక చరాన్ని మాత్రమే జోడిస్తుంది.

సర్టిఫికెట్ లోపం అంటే గుర్తింపు తిరస్కరించబడింది

ఇక్కడ సర్వర్ నిజంగా సమాధానమిచ్చింది, కాబట్టి నెట్‌వర్క్ పనిచేస్తోంది, ప్రశ్న గుర్తింపు వైపు కదులుతుంది. క్లయింట్ డయల్ చేసే పేరును సర్టిఫికెట్ నిజంగా చెప్పే పేర్లతో పోల్చండి, తర్వాత చెల్లుబాటు తేదీలు మరియు జారీచేసే గొలుసును తనిఖీ చేయండి.

క్లయింట్ నమ్మని ప్రైవేట్ CA గడువు ముగిసిన సర్టిఫికెట్‌లాంటి అదే లోప వర్గాన్ని సృష్టిస్తుంది, గంటల తరబడి తప్పుగా నడిచే గడియారం కూడా అలాగే. ముడి చిరునామాకు డయల్ చేయడం కొత్త అసమానతను సృష్టిస్తుంది, ఎందుకంటే సర్టిఫికెట్ పేర్లను చెబుతుంది, చిరునామాలను కాదు. నిర్వహించబడే అమరికలో, లోప పేజీ అందించే ప్రత్యామ్నాయ మూలాన్ని అంగీకరించడం బదులు దాని నిర్వాహకుడి నుండి ఉద్దేశించిన విశ్వాస కాన్ఫిగరేషన్‌ను పొందండి. కారణాన్ని సరిచేస్తున్నప్పుడు ధ్రువీకరణ ఆన్‌లోనే ఉంటుంది.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

విజయవంతమైన TLS దశ దాటిన తర్వాత దాన్ని అలాగే ఉంచండి, ఎందుకంటే తర్వాత దాన్ని వెనక్కి తీసుకోవడం ఏ మార్పు సొరంగాన్ని నిజంగా సరిచేసిందో దాస్తుంది.

రెండూ గందరగోళమయ్యే చోటు

రెండు వైఫల్యాలూ లేవని కనెక్షన్‌లాగా కనిపిస్తాయి, రెండూ వినియోగదారు సంబంధం లేని ఏదో మార్చిన తర్వాత వస్తాయి. ఆ యాదృచ్ఛికతే తప్పు మరమ్మతును కొంతకాలం నమ్మదగినదిగా కనిపించేలా చేస్తుంది.

రెండు అలవాట్లు వాటిని వేరుగా ఉంచుతాయి. కాన్ఫిగరేషన్‌ను తాకే ముందు క్లయింట్ లాగ్‌ను నమోదు చేయండి, మొదటి స్థితి నిలిచి ఉండేలా. ప్రతి ప్రయత్నానికి ఒక పొర మార్చండి, తదుపరి ఫలితం తెలిసిన చరానికి చెందేలా. పోర్ట్ తనిఖీదారు మరియు బ్రౌజర్ పూర్తి క్రమం కాదు, పాక్షిక పరిశీలనలు, ఏదీ క్లయింట్ స్వంత నివేదికకు ప్రత్యామ్నాయం కాదు. రెండు అలవాట్లకూ ఖర్చు లేదు, రెండూ దర్యాప్తును కుదిస్తాయి.

సర్టిఫికెట్ ప్రశ్న మరియు చేరువ ప్రశ్న ఏదో కారణంతో వేరుగా నమోదు చేయబడ్డాయి.

నిజమైన క్లయింట్‌తో మళ్లీ పరీక్షించండి, తర్వాత లోపలికి వెళ్లండి

నిర్దిష్ట సవరణ స్థానంలో ఉన్న తర్వాత బ్రౌజర్ ట్యాబ్‌తో కాదు, నిజమైన SSTP క్లయింట్ మరియు నిజమైన ప్రొఫైల్‌తో మళ్లీ ప్రయత్నించండి.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

సెషన్ కనెక్ట్ అయినా వనరులు ఇంకా విఫలమైతే, సొరంగం ఇక అనుమానితుడు కాదు: రూటింగ్, DNS మరియు సేవా ప్రవేశం వైపు వెళ్లండి. అది వేరే సాక్ష్యాలతో వేరే దర్యాప్తు. పనిచేస్తున్న TLS మరియు ప్రామాణీకరణ దశలను నిలబెట్టుకోవడం అది మొదటి దర్యాప్తు పునరావృత్తి కాకుండా నిరోధిస్తుంది. విఫలమైన దశను టికెట్‌లో రాయండి, లేకపోతే తదుపరి వ్యక్తి మళ్లీ పైనుంచి ప్రారంభిస్తారు.