作者HIRUMA (超電子頭脳！！)
看板Network
標題[問答] VPN,只能連https 不能連http
時間Mon Oct 27 17:33:31 2014
hi.
我現在在大陸出差中。
在台灣公司中找了台空電腦(win7，有固定ip)架了一個vpn。
現在用chrome可以連上google。但是只能連https的協定
也就是
https://www.google.com.tw (可以連)
http://www.google.com.tw (不能連)
當然bbs可以連。因為我正在用。
有試過請台灣的同事直接開該電腦，結果都可以連，沒有異常。
因為很多網頁沒有https，所以少了很多網頁可以看。
對了，如果用"遠端桌面連線"連到該電腦，也有完全一樣的問題。
請問是那作為server電腦設定上的問題嗎？
還是在台灣的網管將遠端連線的http擋下來？所以無解？
--
山の中 金より好み 殿の鮭
from だて まさむね
--
※ 發信站: 批踢踢實
業坊(ptt.cc), 來自: 113.196.35.217
※ 文章網址: http://webptt.com/m.aspx?n=bbs/Network/M.1414402416.A.E95.html
1F：→ dirkc: 較可能是vpn設定問題+防火牆過濾,你的vpn是哪個協定/軟體? 10/28 15:30
vpn 是用 win7
開啟網路和共用中心 -> 變更介面卡設定 -> 按keyboard alt -> 檔案
-> 新增連入連線 -> 然後選vpn 建帳號密碼之類的。
目前的VPN -> 內容 -> 安全性 -> vpn類型 是選 自動
其它類型有PPTP, L2TP/IPSec, SSTP 和 IKEv2
資料加密目前是 可省略加密
驗證目前是: 允許這些通訊協定 (有勾選的如下:)
Challenge Handshake
Microsoft CHAP 版本 2
2F：→ dirkc: 如果同事驗證無誤,該空電腦也無使用其他proxy連網,則應該 10/28 15:35
空電腦上並沒有用proxy.
奇怪的是用 遠端桌面連線 連到那台空電腦，結果也是http不能連。 https可以連…
而直接操作空電腦上網卻沒有這個問題…
3F：→ dirkc: vpn可以讓你順利連線 10/28 15:35
我先試試 vpn類型 不要選自動，一個一個試其它類型好了。
※ 編輯: HIRUMA (113.196.35.217), 10/29/2014 17:01:46
結果PPTP 和 L2TP 可以連，但是還是只能連https
選 SSTP 和IKEv2 就連VPN都連不上。
※ 編輯: HIRUMA (113.196.35.217), 10/29/2014 18:39:11
4F：→ kkoowwee1102: 看看是不是有 HTTPD 在跑. 80PORT 被擋住了 10/30 09:48
5F：推 dirkc: 很有趣的現象;感覺比較有問題的部份在於大陸端(你的電腦或 10/30 14:31
6F：→ dirkc: 你的上網環境) 有機會驗證換台電腦或換個上網環境嗎? 10/30 14:32
昨天晚上用飯店的網路(慢) 連公司專用的vpn -> 遠端桌面連線 到那台空電腦
結果一樣… 只能連https
……下個禮拜二的飛機回台。
回去再試試是不是真的直接操作沒問題…
7F：→ dirkc: 遠端桌面用tls,但憑證自簽可以偽造;mschap2也允許中間人 10/30 14:40
8F：→ dirkc: sstp在vista sp1後才支援;ikev2則是win7 10/30 15:01
9F：→ dirkc: 遠端連線有問題讓人擔心,那條連線若有問題,應該在大陸端 10/30 15:03
10F：→ dirkc: 毫無頭緒XD 有機會從台灣vpn過去然後遠端連線測試嗎? 10/30 15:12
11F：→ dirkc: 比如說請同事從家裡連之類的,如果可以,那就要擔心了 10/30 15:25
※ 編輯: HIRUMA (113.196.35.217), 10/31/2014 08:20:49
剛剛遠端連到那台空電腦，用netstat -a 看了一下。
在協定TCP 那個row 有個外部地址 twtpexxxx:http
不知道是不是這東西佔掉了？
※ 編輯: HIRUMA (113.196.35.217), 10/31/2014 11:04:19
12F：→ dirkc: 應該不會有本機listen連外被擋住的問題,因為連線本質不同 10/31 11:29
13F：→ dirkc: 直接操作可以,遠端連線不行,我能想到的合理解釋就是遠端連 10/31 11:37
14F：→ dirkc: 線有中間人攻擊,但這有點匪夷所思,因為那算是失敗的中間人 10/31 11:38
15F：→ dirkc: 攻擊,好的攻擊應該要讓你可以繼續連線,從中竊取資料 XD 10/31 11:38
16F：→ dirkc: 除非...透過vpn連線建立後,台灣那邊電腦的路由被改了..? 10/31 11:40
17F：→ dirkc: 或者,台灣端的防火牆有個設定,偵測到空電腦建立vpn後,只允 10/31 11:44
18F：→ dirkc: 許出去的是非http;或者就是你的電腦中毒;抱歉,目前沒有結論 10/31 11:46
19F：→ dirkc: netstat -a可否改成netstat -anp tcp並把結果貼上來? 10/31 11:48
我把看起來像公司ip的東西打xx
那個10.34.3.48:80 就是上次查到的 twtpeshart:http
結果連過去是什麼iis的… 看不懂。
協定 本機位址 外部位址 狀態
TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
TCP 0.0.0.0:443 0.0.0.0:0 LISTENING
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1723 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING
TCP 0.0.0.0:12345 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49152 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49153 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49154 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49185 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49186 0.0.0.0:0 LISTENING
TCP xxx.xxx.xx.xx:139 0.0.0.0:0 LISTENING
TCP xxx.xxx.xx.xx:139 0.0.0.0:0 LISTENING
TCP xxx.xxx.xx.xx:1723 xxx.xx.xx.xxx:58627 ESTABLISHED
TCP xxx.xxx.xx.xx:3389 xxx.xx.xx.xxx:58707 ESTABLISHED
TCP xxx.xxx.xx.xx:53287 xxx.xxx.xxx.xx:135 TIME_WAIT
TCP xxx.xxx.xx.xx:53288 xxx.xxx.xxx.xx:1026 TIME_WAIT
TCP xxx.xxx.xx.xx:53290 74.125.203.102:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53291 74.125.31.95:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53293 173.194.72.99:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53294 74.125.23.94:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53295 10.34.3.48:80 ESTABLISHED
TCP xxx.xxx.xx.xx:64480 xxx.xxx.xxx.xx:10123 ESTABLISHED
TCP xxx.xxx.xx.xx:64510 xxx.xxx.xxx.xx:389 CLOSE_WAIT
TCP 127.0.0.1:14147 0.0.0.0:0 LISTENING
TCP 127.0.0.1:14147 127.0.0.1:49467 ESTABLISHED
TCP 127.0.0.1:14147 127.0.0.1:55134 ESTABLISHED
TCP 127.0.0.1:40000 0.0.0.0:0 LISTENING
TCP 127.0.0.1:40000 127.0.0.1:49245 ESTABLISHED
TCP 127.0.0.1:49245 127.0.0.1:40000 ESTABLISHED
TCP 127.0.0.1:49467 127.0.0.1:14147 ESTABLISHED
TCP 127.0.0.1:49469 0.0.0.0:0 LISTENING
TCP 127.0.0.1:49623 0.0.0.0:0 LISTENING
TCP 127.0.0.1:49725 0.0.0.0:0 LISTENING
TCP 127.0.0.1:55134 127.0.0.1:14147 ESTABLISHED
TCP 127.0.0.1:65323 0.0.0.0:0 LISTENING
※ 編輯: HIRUMA (113.196.35.217), 11/01/2014 14:08:29
20F：推 dirkc: 你大概可以忘記我之前的推測。由目前有的線索看來,最有可 11/01 14:35
21F：→ dirkc: 能的是公司的防火牆擋住了.如果實際操作可以,那這擋住應該 11/01 14:36
22F：→ dirkc: 是建立vpn後才限制http;如果有需要,可考慮使用免費的vpn 11/01 14:40
23F：推 asdfghjklasd: TP 11/01 16:46
抱歉… 回公司後測了一下，發現原來的電腦也不行…
那台電腦為了架FTP，有和網管申請固定ip。
可能是固定ip的都會鎖吧？
之前的同事應該也是直接copy他電腦上的https網址去測試。
抱歉之前提供了錯誤的訊息。
※ 編輯: HIRUMA (113.196.35.217), 11/05/2014 09:09:23
24F：推 dirkc: :) 11/07 10:01