Hồ sơ kết nối SoftEther: kiểm tra sáu trường trước khi nhập

Việc nhập hồ sơ thành công, nhưng xác thực thất bại vì tệp trỏ tới một Virtual Hub mà tài khoản chưa từng tham gia. Không có gì trong tệp bị hỏng; nó mô tả một cách bố trí mà thông tin đăng nhập không được cấp cho. Sáu trường quyết định việc nhập có thể hoạt động hay không: tên máy chủ, cổng, giao thức, Virtual Hub, danh tính người dùng, và việc ai đó có đưa nhầm cho bạn thông tin đăng nhập quản trị hay không. Các kiểm tra một đến ba bao quát những trường đó theo thứ tự, hai kiểm tra cuối bao quát chính tệp và điều bạn thực sự đã tham gia.

Kiểm tra 1: tên máy chủ và cổng

Đọc tên máy chủ, cổng và phương thức truy cập được khai báo trước khi nhập bất cứ thứ gì. Bộ lắng nghe SoftEther gốc thường trả lời trên TCP 443, với 992 và 5555 là các lựa chọn thay thế mà nhà vận hành mở cho máy khách sau các mạng hạn chế. Một hồ sơ nhắm tới cổng đang phục vụ trang web hoặc dịch vụ khác sẽ thất bại trước khi xác thực và báo lỗi như một vấn đề thông tin đăng nhập. So sánh cặp này với những gì nhà vận hành công bố cho điểm cuối này, không phải với danh sách thư mục mà ai đó thu thập năm ngoái. Nếu tên máy chủ phân giải tới một địa chỉ mà nhà vận hành không bao giờ nhắc tới, hãy dừng ở đó, vì bước tiếp theo sẽ gửi thông tin đăng nhập tới địa chỉ đó.

Cổng 443 là lãnh thổ chung, nên riêng cổng không chứng minh gì về dịch vụ phía sau. Một máy khách SoftEther tách hai thứ bằng bắt tay giao thức, vì thế hồ sơ có thể trỏ đúng cổng mà vẫn kết thúc tại một máy chủ web. Lỗi đó trông như sai mật khẩu trong nhật ký máy khách dù chưa từng có mật khẩu nào được kiểm tra.

Ghi điểm cuối dưới dạng tên máy chủ, cổng và phương thức, theo đúng thứ tự đó. Bộ ba này là phần bạn có thể xác minh mà không cần kết nối, và là phần để trích dẫn khi bạn hỏi nhà vận hành xem bộ lắng nghe còn hoạt động không. Bất cứ điều gì bạn không thể điền từ nguồn đã công bố thì vẫn chưa được xác minh thay vì bị giả định.

Kiểm tra 2: giao thức quyết định máy khách

Một máy chủ cung cấp nhiều phương thức truy cập không biến một tệp đã xuất thành hồ sơ mà mọi máy khách đều mở được. Each method has its own format, its own client and its own failure mode, và trộn chúng tạo ra lỗi nghe như vấn đề thông tin đăng nhập. Hãy quyết định tệp khai báo phương thức nào trước khi quyết định máy khách nào mở nó.

Bảng dưới đây liệt kê các cổng thông thường và những gì mỗi phương thức thực sự cần. Cổng là lựa chọn của nhà vận hành, nên hãy coi chúng là giá trị mặc định chứ không phải sự thật về một máy chủ cụ thể. Hồ sơ SoftEther gốc được máy khách SoftEther nhập, gói ovpn thuộc về OpenVPN, còn hồ sơ SSTP hoặc L2TP do chính hệ điều hành xử lý. Cài máy khách thứ hai để mở một tệp mà máy khách thứ nhất từ chối thường biến một lỗi rõ ràng thành lỗi khó hiểu.

Đọc khai báo bên trong tệp, không phải phần mở rộng. Một tệp được đặt tên theo OpenVPN theo định nghĩa là hồ sơ OpenVPN, trong khi hồ sơ SoftEther là một cấu hình nhỏ mà máy khách SoftEther nhập, và hai thứ này không thay thế được cho nhau. Nếu phương thức được khai báo là loại bạn không thể phục vụ, điều đó trả lời câu hỏi về việc nhập.

Kiểm tra 3: hub, người dùng và vai trò quản trị

Với truy cập gốc, hồ sơ nêu tên một Virtual Hub và một người dùng bên trong nó. A hub is a logical VPN server instance with its own users and its own settings, và người dùng là thành viên của hub đó với xác thực riêng. Không cái nào trong hai là quản trị máy chủ, thứ kiểm soát bộ lắng nghe, các hub và mọi người dùng trong triển khai. Hồ sơ máy khách không bao giờ nên đến với quyền kiểm soát đó gắn kèm. Khi ai đó gửi cho bạn thông tin đăng nhập quản trị để máy khách hoạt động, cách bố trí là sai dù nó có kết nối được hay không.

Giữ ba thứ tách biệt khi ghi chép kết nối, vì chúng bị thu hồi khác nhau. Xóa một người dùng hub kết thúc quyền truy cập của một người và để phần còn lại của triển khai không bị chạm tới, trong khi luân chuyển thông tin đăng nhập quản trị chạm tới mọi thứ. Sự khác biệt đó cũng là lý do phản đối một người dùng hub dùng chung cho cả nhóm, vì một bộ thông tin đăng nhập nghĩa là một sự kiện thu hồi cho tất cả.

Kiểm tra 4: tệp nhạy cảm như những gì nó mang

Tùy định dạng, hồ sơ có thể mang mật khẩu đã lưu, chứng chỉ hoặc khóa chia sẻ trước. Hãy coi bản xuất là bí mật chừng nào nó còn tồn tại, vì bản sao bạn đính kèm vào phiếu là bản sao mà người khác có thể nhập. Hãy xóa thông tin đăng nhập trước khi chia sẻ, hoặc chia sẻ một hồ sơ được tạo lại với bí mật mới. Tính nhạy cảm của tệp đến từ nội dung, không phải phần mở rộng hay kích thước.

Xác nhận điểm cuối qua kênh mà nhà vận hành công bố, và coi nhãn thư mục là chưa xác minh. Cờ quốc gia và tên máy chủ trong danh sách nút công khai do người gửi mục chọn, nên không cái nào xác lập ai điều hành máy chủ. Nếu hồ sơ đến từ một thư mục công khai, đó là lý do để kiểm tra nhiều hơn chứ không phải ít hơn.

Ghi lại tệp đến từ đâu và bạn nhận nó khi nào. Khi một kết nối sau đó hành xử khác đi, nguồn gốc là thứ đầu tiên bạn so với điểm cuối đã xác minh. Một hồ sơ không có nguồn gốc là hồ sơ bạn không thể kiểm toán.

Lưu trữ bản sao bạn đã xác minh, không phải bản bạn tìm thấy sau đó. Hai tệp cùng tên và khác điểm cuối là cách một lần nhập đang hoạt động trở thành một ca hỗ trợ. Giữ bản sao đã xác minh bên cạnh ghi chú về nguồn gốc của nó.

Kiểm tra 5: kiểm tra ứng dụng, không phải đèn trạng thái

Sau khi nhập, hãy kiểm tra ứng dụng bạn thực sự cần thay vì chỉ báo kết nối. Xác thực thành công chứng minh thông tin đăng nhập hoạt động, không chứng minh các tuyến hay DNS bạn mong đợi đi kèm phiên. Kết nối, rồi dùng dịch vụ mà hồ sơ lẽ ra phải tới được.

Kiểm tra các tuyến được cấp và máy chủ DNS, và ghi lại đích nào đi vòng qua đường hầm nếu thiết kế có chia tách. Sau đó lặp lại với một đích lẽ ra phải bị loại trừ, vì đường hầm chia tách gửi mọi thứ qua đường hầm vẫn vượt qua bài kiểm tra một đích. Nếu một tài nguyên riêng tư thất bại, tuyến là đối tượng nghi ngờ trước thông tin đăng nhập. Ghi lại bốn kết quả: đã xác thực, dịch vụ tới được, tuyến đúng như mong đợi, đích bị loại trừ đã bị loại trừ.

So sánh cả bốn kết quả với những gì nhà vận hành đã hứa cho hub này. Một phiên xác thực được trong khi đích bị loại trừ cũng tới được nghĩa là chia tách không có hiệu lực, và hồ sơ không phải vấn đề. Hãy sửa kỳ vọng hoặc chính sách hub, rồi chạy lại bốn kiểm tra theo cùng thứ tự.