作者HIRUMA (超电子头脳！！)
看板Network
标题[问答] VPN,只能连https 不能连http
时间Mon Oct 27 17:33:31 2014
hi.
我现在在大陆出差中。
在台湾公司中找了台空电脑(win7，有固定ip)架了一个vpn。
现在用chrome可以连上google。但是只能连https的协定
也就是
https://www.google.com.tw (可以连)
http://www.google.com.tw (不能连)
当然bbs可以连。因为我正在用。
有试过请台湾的同事直接开该电脑，结果都可以连，没有异常。
因为很多网页没有https，所以少了很多网页可以看。
对了，如果用"远端桌面连线"连到该电脑，也有完全一样的问题。
请问是那作为server电脑设定上的问题吗？
还是在台湾的网管将远端连线的http挡下来？所以无解？
--
山の中 金より好み 殿の鲑
from だて まさむね
--
※ 发信站: 批踢踢实
业坊(ptt.cc), 来自: 113.196.35.217
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/Network/M.1414402416.A.E95.html
1F：→ dirkc: 较可能是vpn设定问题+防火墙过滤,你的vpn是哪个协定/软体? 10/28 15:30
vpn 是用 win7
开启网路和共用中心 -> 变更介面卡设定 -> 按keyboard alt -> 档案
-> 新增连入连线 -> 然後选vpn 建帐号密码之类的。
目前的VPN -> 内容 -> 安全性 -> vpn类型 是选 自动
其它类型有PPTP, L2TP/IPSec, SSTP 和 IKEv2
资料加密目前是 可省略加密
验证目前是: 允许这些通讯协定 (有勾选的如下:)
Challenge Handshake
Microsoft CHAP 版本 2
2F：→ dirkc: 如果同事验证无误,该空电脑也无使用其他proxy连网,则应该 10/28 15:35
空电脑上并没有用proxy.
奇怪的是用 远端桌面连线 连到那台空电脑，结果也是http不能连。 https可以连…
而直接操作空电脑上网却没有这个问题…
3F：→ dirkc: vpn可以让你顺利连线 10/28 15:35
我先试试 vpn类型 不要选自动，一个一个试其它类型好了。
※ 编辑: HIRUMA (113.196.35.217), 10/29/2014 17:01:46
结果PPTP 和 L2TP 可以连，但是还是只能连https
选 SSTP 和IKEv2 就连VPN都连不上。
※ 编辑: HIRUMA (113.196.35.217), 10/29/2014 18:39:11
4F：→ kkoowwee1102: 看看是不是有 HTTPD 在跑. 80PORT 被挡住了 10/30 09:48
5F：推 dirkc: 很有趣的现象;感觉比较有问题的部份在於大陆端(你的电脑或 10/30 14:31
6F：→ dirkc: 你的上网环境) 有机会验证换台电脑或换个上网环境吗? 10/30 14:32
昨天晚上用饭店的网路(慢) 连公司专用的vpn -> 远端桌面连线 到那台空电脑
结果一样… 只能连https
……下个礼拜二的飞机回台。
回去再试试是不是真的直接操作没问题…
7F：→ dirkc: 远端桌面用tls,但凭证自签可以伪造;mschap2也允许中间人 10/30 14:40
8F：→ dirkc: sstp在vista sp1後才支援;ikev2则是win7 10/30 15:01
9F：→ dirkc: 远端连线有问题让人担心,那条连线若有问题,应该在大陆端 10/30 15:03
10F：→ dirkc: 毫无头绪XD 有机会从台湾vpn过去然後远端连线测试吗? 10/30 15:12
11F：→ dirkc: 比如说请同事从家里连之类的,如果可以,那就要担心了 10/30 15:25
※ 编辑: HIRUMA (113.196.35.217), 10/31/2014 08:20:49
刚刚远端连到那台空电脑，用netstat -a 看了一下。
在协定TCP 那个row 有个外部地址 twtpexxxx:http
不知道是不是这东西占掉了？
※ 编辑: HIRUMA (113.196.35.217), 10/31/2014 11:04:19
12F：→ dirkc: 应该不会有本机listen连外被挡住的问题,因为连线本质不同 10/31 11:29
13F：→ dirkc: 直接操作可以,远端连线不行,我能想到的合理解释就是远端连 10/31 11:37
14F：→ dirkc: 线有中间人攻击,但这有点匪夷所思,因为那算是失败的中间人 10/31 11:38
15F：→ dirkc: 攻击,好的攻击应该要让你可以继续连线,从中窃取资料 XD 10/31 11:38
16F：→ dirkc: 除非...透过vpn连线建立後,台湾那边电脑的路由被改了..? 10/31 11:40
17F：→ dirkc: 或者,台湾端的防火墙有个设定,侦测到空电脑建立vpn後,只允 10/31 11:44
18F：→ dirkc: 许出去的是非http;或者就是你的电脑中毒;抱歉,目前没有结论 10/31 11:46
19F：→ dirkc: netstat -a可否改成netstat -anp tcp并把结果贴上来? 10/31 11:48
我把看起来像公司ip的东西打xx
那个10.34.3.48:80 就是上次查到的 twtpeshart:http
结果连过去是什麽iis的… 看不懂。
协定 本机位址 外部位址 状态
TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
TCP 0.0.0.0:443 0.0.0.0:0 LISTENING
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1723 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING
TCP 0.0.0.0:12345 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49152 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49153 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49154 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49185 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49186 0.0.0.0:0 LISTENING
TCP xxx.xxx.xx.xx:139 0.0.0.0:0 LISTENING
TCP xxx.xxx.xx.xx:139 0.0.0.0:0 LISTENING
TCP xxx.xxx.xx.xx:1723 xxx.xx.xx.xxx:58627 ESTABLISHED
TCP xxx.xxx.xx.xx:3389 xxx.xx.xx.xxx:58707 ESTABLISHED
TCP xxx.xxx.xx.xx:53287 xxx.xxx.xxx.xx:135 TIME_WAIT
TCP xxx.xxx.xx.xx:53288 xxx.xxx.xxx.xx:1026 TIME_WAIT
TCP xxx.xxx.xx.xx:53290 74.125.203.102:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53291 74.125.31.95:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53293 173.194.72.99:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53294 74.125.23.94:443 ESTABLISHED
TCP xxx.xxx.xx.xx:53295 10.34.3.48:80 ESTABLISHED
TCP xxx.xxx.xx.xx:64480 xxx.xxx.xxx.xx:10123 ESTABLISHED
TCP xxx.xxx.xx.xx:64510 xxx.xxx.xxx.xx:389 CLOSE_WAIT
TCP 127.0.0.1:14147 0.0.0.0:0 LISTENING
TCP 127.0.0.1:14147 127.0.0.1:49467 ESTABLISHED
TCP 127.0.0.1:14147 127.0.0.1:55134 ESTABLISHED
TCP 127.0.0.1:40000 0.0.0.0:0 LISTENING
TCP 127.0.0.1:40000 127.0.0.1:49245 ESTABLISHED
TCP 127.0.0.1:49245 127.0.0.1:40000 ESTABLISHED
TCP 127.0.0.1:49467 127.0.0.1:14147 ESTABLISHED
TCP 127.0.0.1:49469 0.0.0.0:0 LISTENING
TCP 127.0.0.1:49623 0.0.0.0:0 LISTENING
TCP 127.0.0.1:49725 0.0.0.0:0 LISTENING
TCP 127.0.0.1:55134 127.0.0.1:14147 ESTABLISHED
TCP 127.0.0.1:65323 0.0.0.0:0 LISTENING
※ 编辑: HIRUMA (113.196.35.217), 11/01/2014 14:08:29
20F：推 dirkc: 你大概可以忘记我之前的推测。由目前有的线索看来,最有可 11/01 14:35
21F：→ dirkc: 能的是公司的防火墙挡住了.如果实际操作可以,那这挡住应该 11/01 14:36
22F：→ dirkc: 是建立vpn後才限制http;如果有需要,可考虑使用免费的vpn 11/01 14:40
23F：推 asdfghjklasd: TP 11/01 16:46
抱歉… 回公司後测了一下，发现原来的电脑也不行…
那台电脑为了架FTP，有和网管申请固定ip。
可能是固定ip的都会锁吧？
之前的同事应该也是直接copy他电脑上的https网址去测试。
抱歉之前提供了错误的讯息。
※ 编辑: HIRUMA (113.196.35.217), 11/05/2014 09:09:23
24F：推 dirkc: :) 11/07 10:01