Haenau SSTP wedi’u hesbonio: beth mae’r pecyn mewnol yn ei ddatgelu o hyd

Mae dwy ffaith am SSTP yn cael eu huno yn y rhan fwyaf o esboniadau, a’r uno hwnnw sy’n gwneud cipolygon yn ddryslyd. Mae pecyn y cymhwysiad yn goroesi y tu mewn i’r sianel warchodedig, ac mae’r cysylltiad TCP sy’n cario’r sianel honno yn cadw ei gyfeiriadau ei hun drwy’r amser. Yr hyn sy’n teithio’r wifren yw cludydd ynghyd â’i gyfrwng, byth yn ddisodliad am y naill na’r llall. Cerddwch y stac o’r tu allan i mewn a labelwch bob ffin wrth ei chroesi.

Dechreuwch gyda’r cludydd allanol

Y peth cyntaf ar y wifren yw cysylltiad TCP cyffredin i borth 443, gyda chyfeiriadau go iawn y mae llwybryddion yn eu hanfon ymlaen. Y cysylltiad hwnnw sy’n goroesi cyfieithu cyfeiriadau rhwydwaith a’r hyn y gall darparwr mynediad ei gyfrif. Nid yw gwarchod y llwyth yn dileu’r cludydd, ac nid yw’n cuddio maint nac amseriad.

Mae popeth ar ôl y pwynt hwn yn cael ei gario yn hytrach na’i lwybro. Mae’r cludydd yn parhau i weithio hyd yn oed pan fydd y cyfnewid mewnol yn methu.

Dilynwch yr encapsiwleiddio i mewn

Y tu mewn i’r sianel warchodedig mae cyfnewid rheoli SSTP, yna sesiwn PPP, yna’r pecyn rhwydwaith y mae’r cleient am ei ddanfon. Mae gan bob haen ei negodiad ei hun, ei negeseuon gwall ei hun a’i pheiriant cyflwr ei hun. Felly gall nam edrych fel nam TLS o un safbwynt a nam PPP o safbwynt arall. Mae darllen yr haenau yn eu trefn yn dweud wrthych pa beiriant cyflwr a stopiodd.

Anaml y mae un cipolwg yn dangos y stac cyfan. Dim ond y tu allan i’r pen draw y mae pennawdau allanol yn weladwy, a pheiriannau mewnol dim ond ar ôl dadgapsiwleiddio. Daw’r anghymesuredd hwnnw o’r man lle rydych yn sefyll, nid o’r protocol.

Mae’r diagram isod yn grwpio’r haenau fel y gellir sôn amdanynt o gwbl. Nid yw’n gynllun beitiau, nid yw’n addo un cofnod y pecyn, ac nid yw’n dweud dim am faint o weithrediadau cryptograffig y mae gweithrediad yn eu cyflawni.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Labelwch yr arsylwr cyn darllen cipolwg

Mae dau gipolwg o’r un sesiwn yn ateb cwestiynau gwahanol, a’r rhyngwyneb y cawsant eu cymryd arno sy’n penderfynu pa un. Ar y llwybr mynediad rydych yn gweld y cludydd a chofnodion TLS, a gallwch fesur meintiau a bylchau heb weld cyfeiriad mewnol. Ar y pen draw, ar ôl dadgapsiwleiddio, mae’r pecyn mewnol yn draffig cyffredin o dan y polisi anfon preifat.

Ysgrifennwch y rhyngwyneb a’r cyfeiriad ar bob cipolwg cyn ei ddehongli. Ni fydd ôl o addasydd ffisegol byth yn dangos cyfeiriadau’r cymhwysiad mewnol fel meysydd allanol cyffredin, ac mae darllen yr absenoldeb hwnnw fel methiant amgryptio yn gamgymeriad cyffredin. Nid yw ôl o du mewn i’r twnnel yn dangos unrhyw gludydd o gwbl, felly ni all ateb cwestiwn am safbwynt y darparwr. Mae’r un ddisgyblaeth yn berthnasol i logiau’r pen draw, sy’n cofnodi trefn negodi yn hytrach na chynnwys.

Cadwch y gwiriadau na all y diagram eu profi

Nid yw trefn yr haenau yn profi bod gosodiad yn gwirio tystysgrif y gweinydd, yn negodi fersiwn TLS a gefnogir neu’n awdurdodi’r cyfrif. Mae pob un o’r rheini yn benderfyniad ffurfweddu sy’n methu’n annibynnol ar yr encapsiwleiddio.

Gwiriwch hwy gyda chleient sy’n adrodd yr hyn y negododd yn lle rhesymu o lun. Dechreuwch gyda’r ysgwyd llaw TLS, yna cyfnewid SSTP, yna PPP, a stopiwch ar y cam cyntaf sy’n adrodd gwall. Mae’r gorchymyn cyntaf yn argraffu’r gadwyn a’r fersiwn a negodwyd, ac mae’r ail yn rhestru’r ysgydwadau llaw sydd mewn cipolwg.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"