[問答] VPN,只能連https 不能連http

[HIRUMA (超電子頭脳！！)]

hi.

我現在在大陸出差中。
在台灣公司中找了台空電腦(win7，有固定ip)架了一個vpn。

現在用chrome可以連上google。但是只能連https的協定

也就是 https://www.google.com.tw     (可以連)
       http://www.google.com.tw      (不能連)
當然bbs可以連。因為我正在用。



有試過請台灣的同事直接開該電腦，結果都可以連，沒有異常。
因為很多網頁沒有https，所以少了很多網頁可以看。

對了，如果用"遠端桌面連線"連到該電腦，也有完全一樣的問題。


請問是那作為server電腦設定上的問題嗎？
還是在台灣的網管將遠端連線的http擋下來？所以無解？

--
                山の中    金より好み    殿の鮭
                                               from  だて  まさむね

--
※ 發信站: 批踢踢實
業坊(ptt.cc), 來自: 113.196.35.217
※ 文章網址: http://www.ptt.cc/bbs/Network/M.1414402416.A.E95.html
→ dirkc: 較可能是vpn設定問題+防火牆過濾,你的vpn是哪個協定/軟體?
vpn 是用 win7
開啟網路和共用中心 -> 變更介面卡設定 -> 按keyboard alt -> 檔案
-> 新增連入連線 -> 然後選vpn 建帳號密碼之類的。

目前的VPN -> 內容 -> 安全性 -> vpn類型 是選 自動
其它類型有PPTP,  L2TP/IPSec,  SSTP   和  IKEv2


資料加密目前是 可省略加密


驗證目前是: 允許這些通訊協定    (有勾選的如下:)
              Challenge Handshake
              Microsoft CHAP 版本 2


→ dirkc: 如果同事驗證無誤,該空電腦也無使用其他proxy連網,則應該
空電腦上並沒有用proxy.

奇怪的是用 遠端桌面連線 連到那台空電腦，結果也是http不能連。 https可以連…
而直接操作空電腦上網卻沒有這個問題…

→ dirkc: vpn可以讓你順利連線
我先試試 vpn類型 不要選自動，一個一個試其它類型好了。
※ 編輯: HIRUMA (113.196.35.217), 10/29/2014 17:01:46

結果PPTP 和 L2TP 可以連，但是還是只能連https

選 SSTP 和IKEv2 就連VPN都連不上。
※ 編輯: HIRUMA (113.196.35.217), 10/29/2014 18:39:11
→ kkoowwee1102: 看看是不是有 HTTPD 在跑.  80PORT 被擋住了
推 dirkc: 很有趣的現象;感覺比較有問題的部份在於大陸端(你的電腦或
→ dirkc: 你的上網環境) 有機會驗證換台電腦或換個上網環境嗎?
昨天晚上用飯店的網路(慢) 連公司專用的vpn -> 遠端桌面連線 到那台空電腦
結果一樣…  只能連https

……下個禮拜二的飛機回台。
回去再試試是不是真的直接操作沒問題…

→ dirkc: 遠端桌面用tls,但憑證自簽可以偽造;mschap2也允許中間人
→ dirkc: sstp在vista sp1後才支援;ikev2則是win7
→ dirkc: 遠端連線有問題讓人擔心,那條連線若有問題,應該在大陸端
→ dirkc: 毫無頭緒XD 有機會從台灣vpn過去然後遠端連線測試嗎?
→ dirkc: 比如說請同事從家裡連之類的,如果可以,那就要擔心了
※ 編輯: HIRUMA (113.196.35.217), 10/31/2014 08:20:49

剛剛遠端連到那台空電腦，用netstat -a 看了一下。
在協定TCP 那個row 有個外部地址 twtpexxxx:http
不知道是不是這東西佔掉了？
※ 編輯: HIRUMA (113.196.35.217), 10/31/2014 11:04:19
→ dirkc: 應該不會有本機listen連外被擋住的問題,因為連線本質不同
→ dirkc: 直接操作可以,遠端連線不行,我能想到的合理解釋就是遠端連
→ dirkc: 線有中間人攻擊,但這有點匪夷所思,因為那算是失敗的中間人
→ dirkc: 攻擊,好的攻擊應該要讓你可以繼續連線,從中竊取資料 XD
→ dirkc: 除非...透過vpn連線建立後,台灣那邊電腦的路由被改了..?
→ dirkc: 或者,台灣端的防火牆有個設定,偵測到空電腦建立vpn後,只允
→ dirkc: 許出去的是非http;或者就是你的電腦中毒;抱歉,目前沒有結論
→ dirkc: netstat -a可否改成netstat -anp tcp並把結果貼上來?
我把看起來像公司ip的東西打xx
那個10.34.3.48:80   就是上次查到的  twtpeshart:http
結果連過去是什麼iis的… 看不懂。

  協定   本機位址               外部位址               狀態
  TCP    0.0.0.0:21             0.0.0.0:0              LISTENING
  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING
  TCP    0.0.0.0:443            0.0.0.0:0              LISTENING
  TCP    0.0.0.0:445            0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1723           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:3389           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:5357           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:12345          0.0.0.0:0              LISTENING
  TCP    0.0.0.0:49152          0.0.0.0:0              LISTENING
  TCP    0.0.0.0:49153          0.0.0.0:0              LISTENING
  TCP    0.0.0.0:49154          0.0.0.0:0              LISTENING
  TCP    0.0.0.0:49185          0.0.0.0:0              LISTENING
  TCP    0.0.0.0:49186          0.0.0.0:0              LISTENING
  TCP    xxx.xxx.xx.xx:139      0.0.0.0:0              LISTENING
  TCP    xxx.xxx.xx.xx:139      0.0.0.0:0              LISTENING
  TCP    xxx.xxx.xx.xx:1723     xxx.xx.xx.xxx:58627    ESTABLISHED
  TCP    xxx.xxx.xx.xx:3389     xxx.xx.xx.xxx:58707    ESTABLISHED
  TCP    xxx.xxx.xx.xx:53287    xxx.xxx.xxx.xx:135     TIME_WAIT
  TCP    xxx.xxx.xx.xx:53288    xxx.xxx.xxx.xx:1026    TIME_WAIT
  TCP    xxx.xxx.xx.xx:53290    74.125.203.102:443     ESTABLISHED
  TCP    xxx.xxx.xx.xx:53291    74.125.31.95:443       ESTABLISHED
  TCP    xxx.xxx.xx.xx:53293    173.194.72.99:443      ESTABLISHED
  TCP    xxx.xxx.xx.xx:53294    74.125.23.94:443       ESTABLISHED
  TCP    xxx.xxx.xx.xx:53295    10.34.3.48:80          ESTABLISHED
  TCP    xxx.xxx.xx.xx:64480    xxx.xxx.xxx.xx:10123   ESTABLISHED
  TCP    xxx.xxx.xx.xx:64510    xxx.xxx.xxx.xx:389     CLOSE_WAIT
  TCP    127.0.0.1:14147        0.0.0.0:0              LISTENING
  TCP    127.0.0.1:14147        127.0.0.1:49467        ESTABLISHED
  TCP    127.0.0.1:14147        127.0.0.1:55134        ESTABLISHED
  TCP    127.0.0.1:40000        0.0.0.0:0              LISTENING
  TCP    127.0.0.1:40000        127.0.0.1:49245        ESTABLISHED
  TCP    127.0.0.1:49245        127.0.0.1:40000        ESTABLISHED
  TCP    127.0.0.1:49467        127.0.0.1:14147        ESTABLISHED
  TCP    127.0.0.1:49469        0.0.0.0:0              LISTENING
  TCP    127.0.0.1:49623        0.0.0.0:0              LISTENING
  TCP    127.0.0.1:49725        0.0.0.0:0              LISTENING
  TCP    127.0.0.1:55134        127.0.0.1:14147        ESTABLISHED
  TCP    127.0.0.1:65323        0.0.0.0:0              LISTENING
※ 編輯: HIRUMA (113.196.35.217), 11/01/2014 14:08:29
推 dirkc: 你大概可以忘記我之前的推測。由目前有的線索看來,最有可
→ dirkc: 能的是公司的防火牆擋住了.如果實際操作可以,那這擋住應該
→ dirkc: 是建立vpn後才限制http;如果有需要,可考慮使用免費的vpn
推 asdfghjklasd: TP
抱歉… 回公司後測了一下，發現原來的電腦也不行…
那台電腦為了架FTP，有和網管申請固定ip。
可能是固定ip的都會鎖吧？
之前的同事應該也是直接copy他電腦上的https網址去測試。

抱歉之前提供了錯誤的訊息。
※ 編輯: HIRUMA (113.196.35.217), 11/05/2014 09:09:23
推 dirkc: :)