SSTP HTTPS üzərində PPP-dir, 443 portunda veb səhifə deyil

SSTP PPP-ni HTTPS bağlantısı içərisində daşıyır, buna görə ortadakı hər şey üçün veb trafik kimi görünür. TLS və HTTP xarici kanalı qurur, sonra SSTP idarə mesajları tuneli hazırlayır və PPP sessiya davranışını təmin edir. Eyni ünvanda səhifə açan brauzer birinci mərhələnin yalnız bir hissəsini tamamlamış olur. Bunu VPN testi saymaq, işləyən proksini protokol uyğunsuzluğunda günahlandırmağın yoludur.

Dörd mərhələni sıra ilə gəzin, gördüyünüz nasazlıq onlardan birinə düşəcək.

Mərhələ 1: TCP və TLS

Müştəri 443 portuna TCP bağlantısı açır və TLS əl sıxışması həyata keçirir. Sertifikat zənciri müştərinin konfiqurasiya edildiyi host adına uyğun olmalıdır. Burada ad uyğunsuzluğu hər hansı SSTP mesajı mübadiləsindən əvvəl nasazlıq yaradır və SSTP spesifikasiyası bu xarici HTTPS kanalının artıq mövcud olduğunu qəbul edir. Sonrakı mərhələlərdə heç nə buradakı etimad nasazlığını kompensasiya edə bilməz.

Adi veb server bu mərhələni mükəmməl tamamlayıb növbətini də uğursuz edə bilər. TLS uğuru sertifikat haqqında sübutdur, onun arxasındakı protokol haqqında deyil.

Mərhələ 2: HTTPS sorğusu

SSTP sorğusunu xüsusi üsulla, SSTP_DUPLEX_POST ilə edir və sənəd qaytarmaq əvəzinə mübadiləni açıq saxlayır. Adi səhifə sorğuları üçün konfiqurasiya edilmiş server və ya proksi bağlantını qəbul edib sonra üsulu rədd edə bilər. Bu rədd insanların adətən 443 portunun bloklandığı kimi təsvir etdiyi uyğunluq problemidir.

Server jurnalında cavab kodunu və üsulu oxuyun. Bu mərhələdə rədd TCP fasiləsindən fərqli bir problemdir və ikisi fərqli düzəlişlərə aparır.

Mərhələ 3: idarə mesajları

Sorğu qəbul edildikdən sonra SSTP tuneli razılaşdıran və hazırlayan idarə mesajlarını mübadilə edir. Bunlar HTTP sorğuları deyil, HTTPS gövdəsi içindəki protokol mesajlarıdır, buna görə gövdələri yoxlayıb yenidən yazan proksi səhifə sorğularını toxunulmaz qoyarkən onları poza bilər.

Dərin yoxlama cihazı məhz burada reputasiya qazanır. Səhifələr açılır və VPN uğursuz olursa, portun açıq olub-olmaması əvəzinə gövdənin dəyişdirilib-dəyişdirilmədiyini yoxlayın.

Mərhələ 4: PPP ələ keçir

Sonra PPP öz sessiya davranışını təmin edir: keçid razılaşması, autentifikasiya və ondan sonra gələn şəbəkə qatı konfiqurasiyası. PPP autentifikasiyası müştərinin artıq keçdiyi TLS yoxlamasından ayrıdır. Müştərinin qəbul etdiyi server sertifikatı istifadəçinin məlumatlarının etibarlı olub-olmadığını və ya hesabın icazəli olub-olmadığını demir.

Qəbul edilmiş sertifikat və rədd edilmiş giriş bir-birinə zidd deyil. Bunlar müstəqil nəticələri olan ardıcıl mərhələlərdir.

Autentifikasiyanın bir neçə rolu var

Müştəri TLS serverinin kimliyini öz etimad anbarına və konfiqurasiya edilmiş ada uyğun yoxlayır. Sonra PPP istifadəçini və ya maşını autentifikasiya edir, bu yerləşdirmədən asılıdır. Server kimin qoşula biləcəyi və nəyə çata biləcəyi barədə öz siyasətini əlavə edə bilər. Host adını sertifikat kimliyi ilə uyğun saxlayın, çünki onu xam ünvanla əvəz etmək işləyən qurğunu ad yoxlaması nasazlığına çevirir.

Nasazlığı hansı mərhələnin bildirdiyini yazın. Sertifikat, üsul, idarə mesajı, PPP autentifikasiyası, sonra marşrutlar: beş yer, beş düzəliş.

Brauzer testi nəyi göstərə bilər və nəyi bilməz

Ünvanda səhifə açmaq DNS həllini, TCP əlçatanlığını və HTTP danışan bir şeyin dinlədiyini sübut edir. Üsulun qəbul edildiyini, idarə mübadiləsinin davam etdiyini və ya PPP autentifikasiyasının konfiqurasiya edildiyini sübut etmir. Başqa profili portu dəyişməklə çevirmək əvəzinə SSTP tətbiq edən müştəri istifadə edin.

Sessiya qalxdıqdan sonra istifadəçinin nəyə çata biləcəyini yenə də marşrutlar, DNS və server tərəfli yönləndirmə müəyyən edir. Tunel bir yoldur, səlahiyyət deyil.