SSTP xác thực máy chủ trước và người dùng sau

Một máy khách SSTP có thể hoàn tất TLS và vẫn từ chối người dùng một giây sau đó. Trình tự đó không phải lỗi, mà là chồng giao thức: bảo mật truyền tải trước, xác thực người dùng sau. Vì hai giai đoạn thất bại với thông báo khác nhau, chúng cũng cần cách khắc phục khác nhau. Đọc xem giai đoạn nào tạo ra lỗi là phần lớn của việc chẩn đoán.

Một chứng chỉ đáng tin cậy chứng minh điểm cuối; nó không nói gì về tài khoản.

Điều mà bắt tay TLS thiết lập

Máy khách kiểm tra chứng chỉ do máy chủ trình bày dựa trên kho tin cậy của nó, tên máy chủ được yêu cầu, cửa sổ hiệu lực và mọi chính sách bổ sung mà nền tảng áp dụng. Điều đó bảo vệ kết nối đến điểm cuối dự định. Nó không chứng minh rằng một tài khoản cụ thể được bật, chưa hết hạn hoặc được phép truy cập từ xa. Đó là những câu hỏi riêng được một thành phần khác đặt ra sau này.

Vì vậy, gỡ bỏ kiểm tra chứng chỉ để đến được lời nhắc đăng nhập là cách sửa sai. Bạn nhận được lời nhắc đăng nhập trên một kết nối mà bạn không thể xác minh. Lỗi chứng chỉ thuộc về tên máy chủ, đồng hồ, chuỗi hoặc cấu hình tin cậy.

Điều mà SSTP và PPP thêm vào bên trên

SSTP chạy trên HTTPS và mang PPP bên trong, với trao đổi điều khiển riêng quanh kết nối. Sau đó PPP chạy các giai đoạn liên kết và xác thực của nó, và phương thức xác thực phụ thuộc vào chính sách máy chủ và khả năng của máy khách. PAP, CHAP, MS-CHAPv2 và EAP đều là các tùy chọn xác thực PPP với đặc tính rất khác nhau. Việc kiểm tra người dùng của VPN chính là giai đoạn PPP đó, không phải lớp TLS bên dưới.

Do đó, việc từ chối người dùng có thể có nghĩa là thông tin đăng nhập, giới hạn tài khoản hoặc không khớp phương thức.

Lý do phía máy chủ hữu ích hơn nhiều so với việc đặt lại mọi bí mật trong hồ sơ. Sự kiện tài khoản bị vô hiệu hóa và thất bại thương lượng phương thức trông giống nhau ở máy khách và không có điểm chung nào ở máy chủ.

Ghép lỗi với giai đoạn

Kiểm tra xem kết nối có đến được TLS, rồi đến trao đổi HTTP của SSTP, rồi đến giai đoạn PPP. Giữ dấu thời gian trong nhật ký thẳng hàng giữa các lần thử để một thất bại trước đó không bị nhầm với thành công sau đó. Một máy khách ghi hai lần thử trong một cửa sổ sẽ có vẻ như đã thất bại ở giai đoạn cuối cùng mà nó đạt tới. Hãy đọc lỗi liên quan đầu tiên, không phải dòng cuối cùng.

Sự thẳng hàng tương tự cũng quan trọng ở phía máy chủ, nơi bản ghi xác thực và nhật ký truyền tải thường là các tệp riêng biệt với đồng hồ riêng. Hai phút lệch là đủ để khiến một nguyên nhân rõ ràng trông có vẻ bất khả thi.

Sau khi đăng nhập, việc cấp quyền vẫn tách biệt

Đăng nhập thành công không cấp mọi tài nguyên riêng tư. Các tuyến xác định những gì có thể đến được, DNS xác định những gì được phân giải, và mỗi dịch vụ vẫn áp dụng quyền riêng của nó. Một phiên hiển thị là đã kết nối là một tuyên bố về đường hầm, không phải về việc chia sẻ tệp. Khi người dùng có thể kết nối mà không đến được một máy chủ, giai đoạn đường hầm đã kết thúc.

Đó là cùng cách phân lớp mà bắt tay đã cho thấy, cao hơn một mức.

Hãy giữ việc khôi phục tài khoản trong quy trình được nhà vận hành hỗ trợ thay vì thay đổi cài đặt truyền tải để đáp lại một lời từ chối rõ ràng của người dùng. Thay đổi truyền tải để sửa một tài khoản bị vô hiệu hóa là kiểu sửa chữa có vẻ hiệu quả khi tài khoản được bật lại vì một lý do không liên quan.