443 portu yanıt veriyor, SSTP hâlâ başarısız: hangi aşama bozuldu?

Tünel hiç kurulmazken 443 portuna bir TCP el sıkışması tamamlamak tek bir şeyi kanıtlar, ve bu küçük bir şeydir. O adreste bir şey dinliyor ve bağlantı kabul etmeye hazır. Hizmeti, sunulacak sertifikayı veya ilk baytlardan sonra ne olacağını tanımlamaz.

O el sıkışma ile çalışan bir tünel arasında dört aşama vardır ve her biri farklı bir hata üretir.

Açık bir port yalnızca tek bir katmanı tanımlar

Bir TCP bağlantısını kabul etmek, bir sürecin sokete sahip olduğu ve yolun el sıkışmaya izin verdiği anlamına gelir. Bu, sürecin SSTP sunucusu olup olmadığı, profilinizdeki ad için geçerli bir sertifikası olup olmadığı veya hesabınızı yetkilendirip yetkilendirmeyeceği hakkında hiçbir şey söylemez. Aynı adresteki bir web sunucusu el sıkışmaya kusursuz yanıt verir ve ardından SSTP isteğinize bir HTTP hatasıyla yanıt verir. O el sıkışmanın üzerindeki her şey test edilmemiş kalır.

Port testini bir hüküm değil, mümkün olan en ucuz filtre olarak görün. Değeri, bütün bir hata kategorisini ortadan kaldırmasıdır, üzerindeki her şeyi doğrulaması değil.

İkisini karıştırmak, insanların istemcinin gerçek sorununu hiç incelememiş bir testten sonra istemcileri yeniden kurmasının nedenidir.

Dört aşamayı kanıtlarla ayırın

Aşamalar taşıma erişilebilirliği, TLS doğrulaması, HTTPS üzerinden SSTP alışverişi ve tünelin içindeki PPP kimlik doğrulamasıdır. Birinciyi geçip dördüncüde başarısız olan yol kimlik bilgilerinin düzeltilmesini gerektirir; ikincide başarısız olan ise sertifika veya ad düzeltmesi gerektirir. Bu onarımların hiçbir ortak yanı yoktur ve yanlış olanı seçmek kesintiyi boşa harcar.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Üçüncü komut dikkatle okunmaya değer. Sıradan bir web sayfasından gelen 200, bir web hizmetinin var olduğunu söyler; SSTP isteğinin anlaşılacağını söylemez. Aynı adresten gelen 404 de VPN hakkında aynı ölçüde bilgisizdir. Yalnızca istemci günlüğü dört aşamadan hangisine ulaşıldığını söyler.

Her komutun hangi adı kullandığına dikkat edin. Sertifika gönderdiğiniz ada göre seçilir, bu yüzden profil ile test arasındaki uyumsuzluk sizin getirdiğiniz bir uyumsuzluktur. Bu adı sonucun yanına yazmak sonraki karışıklığı önler.

Kısmi başarıyı doğru yönde okuyun

Bir aracı, normal gezinmeye izin verip sonraki alışverişi reddedebilir, bu yüzden web siteleri için çalışan bir proxy bir tünel için hâlâ başarısız olabilir. Aynı örüntü, sertifika bir tarayıcı adı için geçerliyken profilde yapılandırılan ad için geçerli olmadığında ortaya çıkar: tarayıcı memnundur ve istemci değildir, ve ikisi de kontrol ettikleri konusunda haklıdır.

Bunu teşhis ederken sunucu doğrulamasını açık tutun. Kapatmak, sertifika uyumsuzluğunu başarılı bir el sıkışmaya dönüştürür ve hatayı açıklayacak tek kanıtı gizler.

Aynı profil başka bir ağdan çalışıyorsa fark yola bağlıdır. Bu, aramayı hangisi olduğunu söylemeden aracılara daraltır ve yine de yararlı bir adımdır. Kullandığınız ağı kaydedin, çünkü karşılaştırma o olmadan değersizdir.

Ardından yalnızca oturumu değil uygulamayı test edin

Bir oturum oluştuğunda, amaçlanan rotayı, ad çözümlemesini ve hizmet iznini buna ihtiyaç duyan istemciden doğrulayın. Bağlı bir tünelde uzak tarafta eksik yönlendirme veya hiç var olmamış bir dönüş rotası olabilir ve bu hatalar bekleyen kişiye tam olarak bir uygulama sorunu gibi görünür.

Her sonucu onu üreten aşamaya bağlı tutun. Açık bir portu çalışan bir VPN olarak adlandırmak, beş dakikalık bir sertifika kontrolünün bir günlük yazılım yeniden kurulumuna dönüşmesinin yoludur.