Bu genel VPN düğümü gerçekte hangi protokolleri sunuyor?
Sunucu yazılımının bir protokolü desteklemesi, bu düğümün onu etkinleştirdiği anlamına gelmez. Uç noktayı, profili ve gerçekte başarısız olan aşamayı denetleyin.
Yazılım destekliyor, öyleyse düğüm sunuyor. Bu çıkarım kural olacak kadar sık yanlış: bir SoftEther kurulumu uyumlu bağlantı yöntemlerinin herhangi bir alt kümesini etkinleştirebilir ve genel bir düğüm, sahibi ve yapılandırması olan bir kurulumdur. Neye bağlanabileceğiniz o düğüme bağlıdır, çalıştırdığı projenin özellik listesine değil. «Protokol bozuk» biletlerinin çoğu gerçekte tam bu ikisinin arasındaki boşlukta yaşar.
Proje listesi gerçekte ne vaat ediyor
Projenin protokol işlevleri sunucunun neler yapabildiğini açıklar. Belirli bir düğüm bu dinleyicilerin bazılarını etkinleştirir, bazılarını etkinleştirmez ve işletmeci bu kümeyi yazılım sürümüne dokunmadan değiştirebilir. Bu nedenle aynı derlemedeki iki düğüm farklı davranır ve birine karşı çalışan profil bir sonraki hedef hakkında hiçbir şey kanıtlamaz. Nereye bağlanacağınızı seçerken düğümün kendi listesi proje sayfasından daha ağır basar.
Listeyi menü değil, beş alan olarak okuyun: uç nokta, bağlantı noktası, taşıma, protokol ailesi ve kimlik doğrulama yöntemi. Reklamını yapan genel düğüm SSTP size bir bağlantı noktasındaki dinleyiciden bahsetti; hangi sertifikayı sunduğunu ya da hesabınızın orada çalışıp çalışmadığını söylemedi. Bu beş alanı profilinizle karşılaştırmak, istemciyi kaç kez yeniden kurduğunuzdan bağımsız olarak daha hızlıdır ve sonradan test edebileceğiniz yazılı bir beklenti üretir.
Profili adını verdiği uç noktayla eşleştirin
Yerel SoftEther girdisi otomatik olarak bir OpenVPN yapılandırması değildir, ikisi aynı başlık altında aynı sağlayıcı sayfasında görünse bile. Bir düğüm OpenVPN için hem TCP hem de UDP dinleyicisi yayımladığında, onları iki uç nokta olarak ele alın: birinden diğerine düzenlenmiş bir profil, kimsenin etkinleştirmediği bir dinleyiciyi gösterir. Dosyadaki taşıma etiketi adresin parçasıdır, kozmetik bir ayar değildir.
İstemcinin içe aktarılan bir dosyayı kabul etmesi, dosyanın ayrıştırıldığını gösterir. Diğer uçta uzak bir dinleyicinin bekleyip beklemediği hakkında hiçbir şey söylemez, bu yüzden ilk bağlantı denemesi asıl testtir. Protokolü suçlamadan önce profilin remote satırını düğümün duyurduğu ana bilgisayar ve bağlantı noktasıyla karşılaştırın.
Başarısız olan aşamayı yoklayın
Web trafiğine yanıt veren bir ana bilgisayar yine de amaçlanan VPN hizmetinden yoksun olabilir, ve bir protokolü reddeden bir ana bilgisayar herkes için kapalı olmak zorunda değildir. Bu iki hata insanları aynı öğleden sonra zıt yönlere gönderir. Biri sorunsuz olan bir güvenlik duvarının peşinden gider; diğeri hiçbir zaman sorun olmayan bir istemciyi yeniden kurar. Her yolu ayrı ayrı yoklayın ki yanıt tüm ana bilgisayarı değil bir dinleyiciyi tanımlasın.
Bu beş denetim genel düğümlerin yaygın yöntemlerini kapsar. Bunları istemcinin kullandığı aynı ağdan çalıştırın, çünkü filtrelenmiş bir bağlantı noktası uzaktan bakıldığında eksik bir dinleyiciyle tamamen aynı görünür.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Sonuç | Aşama | Neyi dışlar |
|---|---|---|
| Bağlantı reddedildi veya zaman aşımına uğradı | Taşıma | Dinleyici yok, filtrelenmiş veya yanlış bağlantı noktası |
| TLS el sıkışma veya kimlik hatası | Sertifika | Protokolün kullanılabilirliği; dinleyici yanıt verdi |
| AUTH_FAILED veya hesap reddi | Kimlik doğrulama | Uç nokta; sorun kimlik bilgilerinde |
| UDP 500 ve 4500 sessiz | IPsec görüşmesi | ESP ve L2TP kimlik doğrulamadan önce engellenir |
Her gözlenen hatayı bir şeyi değiştirmeden önce kendi satırına bağlayın. Bir TLS kimlik hatası dinleyicinin var olduğunu kanıtlar, bu yüzden profili başka bir protokole yeniden yazmak çalışan kanıtı çöpe atardı. Reddedilen bir bağlantı yalnızca bu bağlantı noktasının yanıt vermediğini kanıtlar, bu da «düğüm OpenVPN desteklemiyor» ifadesinden çok daha dar bir iddiadır.
Bir şeyi değiştirmeden önce hatayı koruyun
Kesin sonucu yazın: zaman aşımı, sertifika kimlik hatası, hesap reddi ve uygulama düzeyinde ret dört farklı sonuçtur. Yalnızca birincisi kullanılamayan bir protokolle, yalnızca sonuncusu başarılı bir bağlantıdan sonraki izinle ilgilidir. İstemciyi sıfırlamak veya protokol değiştirmek bu ayrımı yok eder, çünkü sonraki başarısızlık farklı bir geçmişle ve karşılaştırma için hiçbir temel çizgi olmadan gelir.
Uyumsuz bir profilin çalışıyor gibi görünmesi için doğrulamayı zayıflatmayın. Devre dışı bırakılmış bir sertifika denetimi, açık bir kimlik hatasını ulaşmayı amaçlamadığınız bir şeye bağlantıya dönüştürür ve ortaya çıkan başarı, hangi aşamanın yanlış olduğunu gizlediği için özgün hatadan daha kötüdür.
Her düğüm için her seferinde yeniden denetleyin
Genel düğüm listesindeki yerel SSL, OpenVPN, L2TP/IPsec ve SSTP seçenekleri o düğümün o andaki yapılandırmasını tanımlar. Aynı yazılım başka bir yerde farklı bir küme sunabilir ve bir sağlayıcı yer iminizle bir sonraki denemeniz arasında bir dinleyiciyi kaldırabilir. Eski notlar eski kurulumları tanımlar.
Doğrulanmış profili uç noktası ve yöntemiyle birlikte kaydedin, sonra düğüm değiştiğinde veya bağlantı başarısız olmaya başladığında yoklamayı yineleyin. SoftEther protokol belirtimi yazılımın neler yapabildiğinin başvurusudur; düğümün kendi listesi ne yaptığının başvurusudur. İki belgeyi ayrı tutun ve tanı kısalır.