Cách kiểm tra xem một ứng dụng khách VPN có thực sự hỗ trợ SSTP không

Gọi một sản phẩm là ứng dụng khách VPN không cho biết nó có nói được SSTP hay không, và cổng 443 trong địa chỉ chứng minh còn ít hơn. SSTP chạy TLS trên TCP 443, sau đó trao đổi điều khiển SSTP, sau đó PPP cho chính kết nối, với xác thực chứng chỉ và một phương thức xác thực PPP ở trên. Ứng dụng khách chỉ hỗ trợ giao thức khi triển khai được nêu tên, ở phiên bản đã cài, hoàn tất từng lớp đó theo yêu cầu của máy chủ bạn. Hãy thực hiện các kiểm tra dưới đây theo thứ tự và dừng ở kiểm tra đầu tiên thất bại, vì đó là điều đáng để giải quyết.

Khớp triển khai, phiên bản và nền tảng

Bắt đầu với nền tảng, ứng dụng và bản dựng đã cài, vì một tên nhà cung cấp có thể nằm trên hai triển khai hoàn toàn khác nhau. Các loại VPN tích hợp và ứng dụng khách bên thứ ba không phải cùng một thứ, và một trình bổ trợ có thể hiển thị nhãn bộ điều hợp không mô tả giao thức bên dưới. Tài liệu của bản phát hành hiện tại không mô tả bản dựng đang chạy trên máy trước mặt bạn. Đọc trang dành riêng cho phiên bản, rồi so sánh với những gì ứng dụng khách báo về chính nó.

Trên Windows, loại đường hầm đến từ nền tảng chứ không phải từ giao diện đồ họa, nên hãy hỏi nền tảng. Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress hiển thị Sstp khi ứng dụng khách gốc sẽ thử giao thức này, và tài liệu tham chiếu loại kết nối liệt kê nó trong các loại đường hầm tích hợp. Trên Linux không có ứng dụng khách SSTP gốc nào cả, nên câu hỏi trở thành liệu một triển khai riêng như sstpc từ gói sstp-client có được cài và còn cập nhật hay không.

Đọc định dạng hồ sơ trước nhãn

Hồ sơ không thể hoán đổi cho nhau, và tệp bạn được giao thường giải quyết câu hỏi nhanh hơn bất kỳ danh sách tính năng nào. Các chỉ thị OpenVPN, khóa WireGuard và cài đặt kết nối SSTP mô tả ba giao thức không liên quan, và không hộp thoại nhập nào biến cái này thành cái kia. Chia sẻ cổng TCP 443 không dịch được gì, vì SSTP, OpenVPN trên TLS và một dịch vụ HTTPS thông thường có thể chiếm cùng một cổng mà không có gì chung ở phía trên.

Nếu tệp là .ovpn hoặc cấu hình WireGuard, câu trả lời đã rõ: ứng dụng khách đó không được yêu cầu nói SSTP. Nhập nó vào một ứng dụng khách chỉ làm SSTP sẽ thất bại ngay ở bước hồ sơ, rất lâu trước khi bất kỳ cuộc thương lượng giao thức nào bắt đầu.

Những gì TLS không chứng minh về việc triển khai

Một bắt tay TLS hoàn tất chứng minh máy chủ có chứng chỉ, và không chứng minh gì về việc ứng dụng khách của bạn có tin chuỗi phát hành hay tên bên trong có khớp hay không. Việc xác thực phải thành công với máy chủ dự định, bao gồm mọi CA riêng do tổ chức vận hành, và một ứng dụng khách đề nghị bỏ qua lỗi chứng chỉ đã loại bỏ kiểm tra thay vì có được hỗ trợ giao thức. Xác thực chuỗi và khớp tên là hai phép thử riêng biệt, và một ngăn xếp vượt qua phép này vẫn có thể thất bại ở phép kia. Cả hai thuộc tiêu chí chấp nhận, không phải phụ lục khắc phục sự cố.

Sau đó xác nhận phương thức xác thực PPP, vì triển khai dùng EAP-TLS cần một ứng dụng khách có thể xuất trình chứng chỉ bên trong PPP, trong khi phương thức dựa trên mật khẩu cần hỗ trợ cho trao đổi đó. Địa chỉ máy chủ và mật khẩu không mô tả yêu cầu thực tế của tổ chức, đặc biệt khi phía trước có yếu tố thứ hai hoặc kiểm tra thiết bị. Hãy hỏi máy chủ bắt buộc phương thức nào trước khi cho rằng ứng dụng khách có thể đáp ứng.

Theo dõi phiên qua bốn giai đoạn

Hãy xem kết nối đi qua bốn ranh giới: TCP và TLS tới máy chủ, trao đổi điều khiển SSTP, thương lượng PPP, rồi tài nguyên bạn thực sự cần. Một nhật ký dừng sau TLS mô tả lỗi khác với nhật ký dừng bên trong PPP, và cả hai dẫn đến những người phụ trách khác nhau. Việc trình duyệt tải trang web của máy chủ chỉ chứng minh có gì đó đã trả lời trên 443, đây là dương tính giả phổ biến nhất trong lĩnh vực này. Nếu trang đó tải được mà ứng dụng khách vẫn thất bại, vấn đề nằm phía trên TLS và máy chủ web không phải là nghi phạm.

Kết thúc bằng một tài nguyên riêng thực sự và một truy vấn tên, vì một phiên được thiết lập mà không mang theo gì trông giống hệt phiên hoạt động trong hầu hết các cửa sổ trạng thái. Một yêu cầu thành công tới tài nguyên bạn cần giải quyết câu hỏi mà biểu tượng không thể.

Khi thiếu hỗ trợ, hãy đổi kế hoạch

Nếu ứng dụng khách không nói được SSTP, hãy tìm một lựa chọn thay thế đã được phê duyệt hoặc đề nghị chủ máy chủ dùng giao thức mà cả hai đầu đều hỗ trợ. Xóa các tùy chọn không nhận diện cho đến khi nhập thành công sẽ tạo ra hồ sơ không kết nối được với gì, đó là con đường chậm hơn dẫn tới cùng một ngõ cụt. Một trình cài đặt từ nguồn không rõ quảng cáo khả năng tương thích phổ quát sẽ thêm một đường tin cậy chưa được phê duyệt vào máy và thường thay thế ứng dụng khách của nền tảng bằng thứ mà tổ chức không thể cập nhật. Không hành động nào trong hai là bản sửa, và cả hai đều khó hoàn tác hơn vấn đề ban đầu.

Hãy xử lý câu hỏi tương thích tách khỏi hiệu năng và việc chọn điểm cuối, vì một máy chủ gần đó là vô dụng khi ứng dụng khách không nói được giao thức của nó. Việc tinh chỉnh độ trễ không sửa được một giai đoạn không bao giờ hoàn tất.