SSTP هو PPP فوق HTTPS، وليس صفحة ويب على المنفذ 443

SSTP يحمل PPP داخل اتصال HTTPS، ولهذا يبدو كحركة ويب لأي شيء في المنتصف. ينشئ TLS وHTTP القناة الخارجية، ثم تُعدّ رسائل تحكم SSTP النفق، ويوفّر PPP سلوك الجلسة. المتصفح الذي يحمّل صفحة على العنوان نفسه يكون قد أكمل جزءًا فقط من المرحلة الأولى. اعتبار ذلك اختبارًا لـ VPN هو ما يجعل وسيطًا يعمل يُلام على عدم توافق في البروتوكول.

تمشَّ عبر المراحل الأربع بالترتيب، وسيقع العطل الذي تراه في إحداها.

المرحلة 1: TCP وTLS

يفتح العميل اتصال TCP إلى المنفذ 443 ويجري مصافحة TLS. يجب أن تطابق سلسلة الشهادات اسم المضيف الذي هُيّئ به العميل. أي عدم تطابق في الاسم هنا يُنتج فشلًا قبل تبادل أي رسالة SSTP، وتفترض مواصفة SSTP أن هذه القناة الخارجية عبر HTTPS موجودة بالفعل. ولا شيء في المراحل اللاحقة يعوّض فشل الثقة هنا.

يمكن لخادم ويب عام أن يُكمل هذه المرحلة بإتقان ثم يفشل في المرحلة التالية. نجاح TLS دليل على الشهادة، لا على البروتوكول الذي خلفها.

المرحلة 2: طلب HTTPS

يرسل SSTP طلبه بطريقة محددة هي SSTP_DUPLEX_POST، ويُبقي التبادل مفتوحًا بدل إرجاع مستند. قد يقبل خادم أو وسيط مُهيّأ لطلبات الصفحات العادية الاتصال ثم يرفض الطريقة. ذلك الرفض هو مشكلة التوافق التي يصفها الناس عادة بأن المنفذ 443 محجوب.

اقرأ رمز الاستجابة والطريقة في سجل الخادم. الرفض في هذه المرحلة مشكلة مختلفة عن انتهاء مهلة TCP، وكلاهما يقود إلى إصلاح مختلف.

المرحلة 3: رسائل التحكم

بمجرد قبول الطلب، يتبادل SSTP رسائل تحكم تتفاوض على النفق وتُعدّه. هذه رسائل بروتوكول داخل جسم HTTPS وليست طلبات HTTP، لذا يمكن لوسيط يفحص الأجسام ويعيد كتابتها أن يكسرها مع ترك طلبات الصفحات سليمة.

هنا يكسب جهاز الفحص العميق سمعته. إذا حُمّلت الصفحات وفشل الـ VPN، فتحقق مما إذا كان الجسم يُعدَّل بدلًا من فحص ما إذا كان المنفذ مفتوحًا.

المرحلة 4: يتولى PPP

بعد ذلك يوفّر PPP سلوك الجلسة: التفاوض على الرابط والمصادقة وإعداد طبقة الشبكة الذي يتبعها. مصادقة PPP منفصلة عن فحص TLS الذي اجتازه العميل بالفعل. شهادة خادم يقبلها العميل لا تقول شيئًا عن صلاحية بيانات اعتماد المستخدم أو عن تخويل الحساب.

شهادة مقبولة وتسجيل دخول مرفوض ليسا متناقضين. إنهما مرحلتان متتاليتان بنتيجتين مستقلتين.

للمصادقة أدوار عدة

يتحقق العميل من هوية خادم TLS مقابل مخزن الثقة والاسم المُهيّأ. ثم يصادق PPP على المستخدم أو الجهاز بحسب النشر. وقد يضيف الخادم سياسة خاصة بمن يحق له الاتصال وما يمكنه الوصول إليه. أبقِ اسم المضيف متسقًا مع هوية الشهادة، لأن استبداله بعنوان خام يحوّل إعدادًا يعمل إلى فشل في التحقق من الاسم.

سجّل أي مرحلة أبلغت عن الفشل. الشهادة، ثم الطريقة، ثم رسالة التحكم، ثم مصادقة PPP، ثم المسارات: خمسة مواضع وخمسة إصلاحات.

ما يمكن لاختبار المتصفح إثباته وما لا يمكنه

تحميل صفحة على العنوان يثبت تحليل DNS والوصول إلى TCP ووجود شيء يستمع ويتحدث HTTP. لكنه لا يثبت قبول الطريقة أو نجاة تبادل التحكم أو تهيئة مصادقة PPP. استخدم عميلًا ينفّذ SSTP بدلًا من تحويل ملف تعريف آخر بتغيير المنفذ.

بعد قيام الجلسة، تظل المسارات وDNS والتمرير من جهة الخادم هي ما يحدد ما يمكن للمستخدم الوصول إليه. النفق مسار، وليس تفويضًا.