Vì sao tên bộ điều hợp VPN có thể che giấu một giao thức khác
Nhãn bên cạnh bộ điều hợp mô tả phần mềm đã tạo ra nó, không phải các gói tin trên mạng. Hãy kiểm tra máy khách, hồ sơ và đối tác trước khi chọn cách khắc phục.
Nhãn bên cạnh bộ điều hợp VPN mô tả phần mềm đã tạo ra giao diện, và đó là một lớp phía trên các gói tin thực sự đi qua mạng. Một plugin có thể hiển thị bộ điều hợp có tên phản ánh cách phân loại của chính plugin chứ không phải cách đóng gói trên mạng. Đọc máy khách, hồ sơ và đối tác trả lời điều mà cái tên không thể. Hai kết nối trông giống nhau trong menu cài đặt có thể hành xử hoàn toàn khác nhau trong một bản ghi.
Cái tên đến từ nhà cung cấp, không phải từ mạng
Windows định nghĩa một danh sách ngắn các loại kết nối cho các máy khách VPN tích hợp của mình, và các sản phẩm bên thứ ba cài đặt ngăn xếp riêng bên cạnh chúng. Bộ điều hợp xuất hiện trong danh sách mạng được tạo bởi trình điều khiển sở hữu kết nối, vì vậy tên của nó là bằng chứng về trình điều khiển, không phải bảo đảm về giao thức bên ngoài. Đó cũng là lý do việc gỡ cài đặt một máy khách có thể để lại tên bộ điều hợp.
Tài liệu của Microsoft về các loại kết nối VPN nói rõ rằng loại đó mô tả cấu hình của máy khách cho kết nối ấy. Khi có plugin tham gia, loại được hiển thị tuân theo những gì plugin đăng ký, và cách đóng gói thực tế có thể là một thứ hoàn toàn khác.
Cách phân lớp tương tự cũng xuất hiện ở nơi khác. Một bộ điều hợp ảo trên máy chủ Linux, một thiết bị TAP hay một tiện ích mở rộng dịch vụ VPN di động đều là các giao diện do phần mềm tạo ra, và tên giao diện do phần mềm đó chọn thay vì thương lượng với máy chủ.
Cổng và địa chỉ có thể và không thể cho bạn biết điều gì
Mỗi lớp để lại bằng chứng khác nhau. Hãy đọc riêng chúng và một nhãn không còn là phán quyết:
| Evidence | What it establishes | Where it misleads |
|---|---|---|
| Adapter name | Which driver bound the interface | Plugins choose their own labels |
| Profile file | Which client consumes the configuration | Abstraction layers hide the transport |
| Outer port | Which port the peer accepts | 443 carries several protocols plus HTTPS |
| Tunnel address | The inner interface's network | Says nothing about encapsulation |
TCP 443 là ví dụ rõ ràng nhất. Nó có thể mang SSTP, một đường hầm OpenVPN TCP, một phiên SoftEther SSL-VPN hoặc lưu lượng web thông thường, và chỉ số cổng thì không thể phân biệt chúng. Vì vậy một quy tắc tường lửa cho phép 443 không phải là bằng chứng về máy khách đang được dùng. Một bản ghi trên giao diện bên ngoài sẽ giải quyết điều đó, và giải quyết trong vài giây.
Đọc định dạng hồ sơ và đối tác
Tệp cấu hình là một manh mối mạnh hơn bộ điều hợp. Hồ sơ OpenVPN chứa các chỉ thị như remote, proto và ca; cấu hình WireGuard chứa một phần [Interface] với khóa riêng và các phần [Peer] với IP được phép; một mục trong danh bạ điện thoại Windows lưu loại kết nối theo định dạng riêng của nó. Mỗi cú pháp thuộc về một cách triển khai.
Sau đó xem tài liệu và nhật ký của đối tác. Máy chủ biết trình xử lý giao thức nào đã chấp nhận phiên, và nhật ký của nó nêu tên giai đoạn đã hoàn tất. Bằng chứng đó vượt qua mọi nhãn trên màn hình, vì nó được ghi lại ở nơi các gói tin thực sự được diễn giải.
Chọn tài liệu hướng dẫn theo giao thức, không theo nhãn
Một chỉ thị OpenVPN thuộc về OpenVPN, khóa và IP được phép của WireGuard thuộc về WireGuard, và hồ sơ SSTP không phải cả hai. Dán tùy chọn của máy khách này vào máy khách khác vì tên bộ điều hợp nghe có vẻ tương thích chính là cách một cấu hình đang hoạt động bị phá vỡ.
Sau khi xác định được giao thức, hãy chọn con đường khắc phục sự cố tương ứng: nhật ký của chính máy khách, nhật ký của máy chủ dành riêng cho giao thức và một bản ghi cho thấy trao đổi bên ngoài. Từ đó, sự cố có một cái tên thay vì một nhãn.