SSTP y tu ôl i brocsi sy’n archwilio TLS: ble mae’r sesiwn yn torri

Mae eich porwr yn llwytho’r intranet corfforaethol, mae tystysgrif y procsi yn cael ei hymddiried, ac mae cleient SSTP yn dal i ddisgyn yn agos at ddiwedd y cysylltiad. Mae’r patrwm hwn yn cyfeirio at y gwahaniaeth rhwng cais gwe a sesiwn dwneli, nid at gyfrinair anghywir. Cerddwch y cysylltiad o TCP i fyny a nodwch y cam cyntaf sy’n methu. Y cam, nid y cod gwall, sy’n dweud wrthych a yw’r procsi yn yr achos.

Dechreuwch lle mae’r cleient yn stopio

Mae’r cleient yn mynd trwy ddilyniant sefydlog: cysylltiad TCP i borth 443, trawsfeddiant TLS, dilysu tystysgrif, cyfnewid HTTP SSTP, trafodaeth a dilysiad PPP, yna ffurfweddiad IP. Mae methiant ym mhob cam yn gadael ôl gwahanol, ac mae eu cymysgu yn eich anfon i’r dudalen ffurfweddu anghywir.

Methiant TCP yw terfyn amser neu ailosodiad cyn i unrhyw feit TLS ymddangos. Methiant TLS yw rhybudd neu derfyn amser trawsfeddiant. Mae methiant tystysgrif yn cynhyrchu rhybudd am y gadwyn neu’r enw. Mae methiant HTTP yn dod ar ôl trawsfeddiant llwyddiannus, yn aml fel cod statws neu gau ar unwaith. Mae methiant PPP yn dod ar ôl i’r dwnnel gael ei sefydlu’n dechnegol, a dyna pam mae’n edrych fel problem dilysu.

Darllenwch log y cleient am y cam llwyddiannus olaf yn hytrach na’r llinell gwall gyntaf. Y llinell gwall fel arfer yw’r cleient yn adrodd y canlyniad, tra bod ffin y cam yn enwi’r gydran a wrthododd.

Beth mae SSTP yn gofyn i’r rhwydwaith ei gario

Mae SSTP yn rhedeg dros TLS ar TCP 443 ac yna’n anfon cais HTTP o’r enw SSTP_DUPLEX_POST, a ddiffinnir yn manyleb SSTP, i lwybr o’r ffurf /sra_{GUID}/. Mae’r cais yn datgan hyd cynnwys sy’n sylweddol ddiderfyn ac yn cadw’r ffrwd yn agored yn y ddau gyfeiriad am oes y sesiwn. Mae fframiau PPP yn teithio o fewn y ffrwd honno.

Dyma pam y gall procsi sy’n trin pori cyffredin fethu o hyd. Gellir byfferu, archwilio a danfon GET neu POST â chorff meidraidd; ni ellir gwneud hynny â ffrwd ddeuol â chorff na ddaw byth i ben. Mae procsi sy’n aros i’r corff gwblhau yn aros am byth, ac mae’r cleient yn y pen draw yn goramser.

Mae hidlo dulliau a dilysu yn ychwanegu eu moddau methu eu hunain. Os yw’r procsi yn herio’r cais am gymwysterau, efallai na fydd cleient VPN yn ateb yr her er y byddai’r porwr yn gwneud. Os yw’n tynnu neu’n ailysgrifennu’r dull, mae’r porth yn gwrthod y cais cyn i PPP ddechrau.

Pam mae archwilio yn newid yr hunaniaeth

Mae procsi sy’n archwilio TLS yn terfynu cysylltiad TLS y cleient ac yn agor un ar wahân i’r porth. Felly mae’r cleient yn dilysu tystysgrif y procsi, nid un y porth, ac mae’r porth yn gweld y procsi fel ei gymar. Pan fydd y sefydliad yn dosbarthu ei wraidd ei hun, gall y porwr a’r cleient VPN ill dau dderbyn y gadwyn honno, felly mae’r trawsfeddiant yn llwyddo ac mae’r broblem yn symud i’r cam nesaf.

Nid yw dilysu llwyddiannus yn golygu y gall y procsi gario’r sesiwn. Mae’n dal i orfod trosglwyddo POST deuol diderfyn heb byffro, ac mae’n rhaid iddo gadw’r ddau gysylltiad yn fyw am oriau. Mae llawer o gynhyrchion archwilio wedi’u hadeiladu ar gyfer traffig cais-ymateb ac yn trin yr achos hwn yn wael neu ddim o gwbl.

Dyma hefyd pam mae ychwanegu gwraidd anhysbys neu analluogi dilysu yn y drws anghywir. Mae’n newid pa dystysgrif y mae’r cleient yn ei derbyn; nid yw’n gwneud dim am y trin ffrwd a dorrodd y sesiwn mewn gwirionedd.

Nodwch y cyhoeddwr cyn newid gosodiadau

Gofynnwch i’r pen terfyn pa dystysgrif mae’n ei chyflwyno a phwy a’i llofnododd. Mae’r gorchmynion isod yn dangos y gadwyn a’r cyhoeddwr heb gychwyn sesiwn VPN:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Os yw’r cyhoeddwr yn CA cyhoeddus, mae’n debyg nad yw’r cysylltiad yn cael ei ryng-gipio ar gyfer y gwesteiwr hwn ac mae’r methiant yn rhywle arall. Os yw’r cyhoeddwr yn CA’r sefydliad ei hun, mae archwilio yn weithredol ac mae’r porth yn cael ei gyrraedd trwy brocsi. Cymharwch y bysbrint â’r un y mae’r tîm rhwydwaith yn ei ddisgwyl cyn tynnu casgliad o’r enw yn unig.

Mae prawf porwr i’r un gwesteiwr yn profi dim ond bod y procsi yn derbyn GET. Nid yw’n dweud dim am ddull SSTP, URI’r cais na hyd oes y corff, felly peidiwch â chymryd tudalen intranet sy’n gweithio fel tystiolaeth bod y llwybr dwnnel yn cael ei gefnogi.

Dewiswch y llwybr a gefnogir

Gofynnwch un cwestiwn penodol i berchennog y rhwydwaith: a yw’r procsi yn caniatáu POST deuol heb ei byffro i’r porth hwn ar borth 443? Mae ie yn arwain at eithriad procsi neu osgoi dogfennedig ar gyfer gwesteiwr VPN. Mae na yn golygu na all y llwybr a archwiliwyd gario SSTP, a’r atgyweiriad a gefnogir yw llwybr neu brotocol gwahanol yn hytrach na thwtio’r cleient.

Mae’r opsiynau fel arfer yn cynnwys allanfa heb ei harchwilio ar gyfer y porth VPN, dyluniad twnnel hollt sy’n anfon traffig corfforaethol yn unig trwy’r procsi, neu brotocol amgen y mae’r sefydliad yn ei gefnogi ar borth gwahanol. Mae pob un yn perthyn i ddyluniad y rhwydwaith, a dylid profi pob un gyda’r un ddyfais a’r un proffil fel bod y gymhariaeth yn ynysu’r llwybr.

Dogfennwch y canlyniad: cyhoeddwr, cam methu, rheol procsi a llwybr a ddewiswyd. Yna gall y person nesaf sy’n gweld yr un arosiad 98 y cant wirio un ffaith yn lle ailadrodd yr holl gerdded.