SSTP vaqt tugashi yoki sertifikat xatosi: ularni qanday ajratish mumkin

SSTP ulanishi foydalanuvchi kursisidan bir xil ko'rinadigan ikki usulda muvaffaqiyatsiz bo'ladi va har birining tuzatishi boshqa qatlamda joylashgan. Vaqt tugashi zarur almashinuv hech qachon tugamaganini bildiradi; sertifikat xatosi identifikatsiya materiali kelib, rad etilganini bildiradi. Ikkinchisini birinchisi deb hisoblash sizni hech qachon muammo bo'lmagan tarmoq devorlari va parollarga yuboradi. Farqlovchi dalil mijozning o'z jurnalida bo'ladi, agar biror narsani o'zgartirishdan oldin uni o'qisangiz.

Ikki muvaffaqiyatsizlik, ikki xil almashinuv

SSTP tunnelni HTTPS shaklidagi sessiya ichida olib yuradi, shuning uchun faqat 443 ga ruxsat beradigan tarmoqlarda ham omon qoladi. Mijoz TLS qo'l siqishini yakunlaydi, protokolga xos usul bilan HTTP so'rov yuboradi, so'ng tunnel o'sha oqim ichida ishlaydi. Bu bosqichlardan birida muvaffaqiyatsizlik ulanishni to'xtatadi va faqat keyingilari hisob ma'lumotlariga taalluqli.

Ana shu tartib tashxis. Agar TLS qo'l siqishi hech qachon tugamasa, hech qanday hisob ma'lumoti yuborilmagan, shuning uchun parolni tiklash yordam bera olmaydi. Agar qo'l siqish tugab, keyin tiqilib qolsa, identifikatsiya qabul qilingan va so'rov yo'lidagi biror narsa uni rad etgan. Agar qo'l siqish tekshiruv xabari bilan muvaffaqiyatsiz bo'lsa, server javob bergan va mijoz eshitganini yoqtirmagan. Uch natija, uch qatlam.

Jurnal satri odatda uchtadan qaysi birida ekaningizni aytadi, shuning uchun uni birinchi o'zgarishdan oldin yozib qo'yish arziydi.

Vaqt tugashi bosqich hech qachon tugamaganini bildiradi

Nom hal qilish va TCP yetib borishdan boshlang, chunki u yerdagi vaqt tugashi keyingi vaqt tugashiga o'xshab ko'rinadi. 443 ochiq deb xabar beruvchi port tekshiruvchisi faqat tinglovchi ulanishni qabul qilganini isbotlaydi, undan ortiq emas.

Keyingi gumondor xost emas, yo'l. Proksilar va ilovalarni tushunadigan tarmoq devorlari ba'zan SSTP ishlatadigan so'rov usulini rad etadi yoki soatlab ochiq qoladigan oqimni tashlab yuboradi, va ikkala xatti-harakat mijoz tomondan vaqt tugashiga o'xshaydi. O'sha xost taqdim etgan oddiy HTTPS sahifa tunnel usuli rad etilganda ham bemalol yuklanadi, shuning uchun oxirgi nuqtaga brauzerda kirish juda oz narsani isbotlaydi. Bu ikki holatni ajratish uchun proksisiz tarmoqdan sinab ko'ring.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Sherikning har qanday javobidan oldingi vaqt tugashi hisob haqida hech narsa demaydi va o'sha paytda parolni o'zgartirish faqat bitta o'zgaruvchi qo'shadi.

Sertifikat xatosi identifikatsiya rad etilganini bildiradi

Bu yerda server haqiqatan javob berdi, shuning uchun tarmoq ishlaydi va savol identifikatsiyaga o'tadi. Mijoz teradigan nomni sertifikat haqiqatan da'vo qiladigan nomlar bilan solishtiring, so'ng amal qilish sanalari va chiqaruvchi zanjirini tekshiring.

Mijoz ishonmaydigan xususiy CA muddati o'tgan sertifikat bilan bir xil xato sinfini keltirib chiqaradi, soatlab xato yuradigan soat ham shunday. Xom manzilga qo'ng'iroq qilish yangi nomuvofiqlik yaratadi, chunki sertifikat manzillarni emas, nomlarni da'vo qiladi. Boshqariladigan joylashtirishda xato sahifasi taklif qilgan almashtiruvchi ildizni qabul qilish o'rniga uning administratoridan ko'zda tutilgan ishonch konfiguratsiyasini oling. Sababni tuzatayotganingizda tekshiruv yoniq qoladi.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Muvaffaqiyatli TLS bosqichini u o'tgandan keyin tegmasdan saqlang, chunki uni keyin qaytarish tunnelni haqiqatan qaysi o'zgarish tuzatganini yashiradi.

Ikkalasi qayerda chalkashadi

Ikkala muvaffaqiyatsizlik ham ko'tarilmaydigan ulanish sifatida ko'rinadi va ikkalasi ham foydalanuvchi aloqasiz narsani o'zgartirgandan keyin keladi. Aynan shu tasodif noto'g'ri tuzatishni bir muddat ishonarli ko'rsatadi.

Ikki odat ularni ajratib turadi. Konfiguratsiyaga tegishdan oldin mijoz jurnalini yozib oling, birinchi holat saqlanib qolsin. Har bir urinishda bitta qatlamni o'zgartiring, keyingi natija ma'lum o'zgaruvchiga tegishli bo'lsin. Port tekshiruvchisi va brauzer to'liq ketma-ketlik emas, qisman kuzatishlar, va hech biri mijozning o'z hisobotini almashtirmaydi. Ikkala odat ham hech narsaga turmaydi va ikkalasi tekshiruvni qisqartiradi.

Sertifikat masalasi va yetib borish masalasi bir sababga ko'ra alohida hujjatlashtirilgan.

Haqiqiy mijoz bilan qayta sinang, so'ng ichkariga qarab yuring

Aniq tuzatish joyida bo'lgach, brauzer yorlig'i bilan emas, haqiqiy SSTP mijozi va haqiqiy profil bilan qayta urinib ko'ring.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Agar sessiya ulanib, resurslar hali ham ishlamasa, tunnel endi gumondor emas: marshrutlash, DNS va xizmatlarga kirishga o'ting. Bu boshqa dalillarga ega boshqa tekshiruv. Ishlayotgan TLS va autentifikatsiya bosqichlarini saqlash uning birinchisining takroriga aylanishiga yo'l qo'ymaydi. Muvaffaqiyatsiz bo'lgan bosqichni bilettga yozing, aks holda keyingi odam yana yuqoridan boshlaydi.