SSTP geruzak azalduta: zer erakusten duen oraindik barne paketeak

SSTPk PPP eta barne pakete bat TLSren barruan biltzen ditu, baina kanpoko TCP konexioak oraindik erakusten du nor nori mintzatu zitzaion. Etiketatu geruza bakoitza kaptura bat irakurri aurretik.

Azalpen gehienetan bi gertaera SSTPi buruz bat egiten dira, eta bat-egite horrek egiten ditu kapturak nahasgarri. Aplikazioaren paketeak babestutako kanalaren barruan irauten du, eta kanal hori daraman TCP konexioak bere helbideak mantentzen ditu hasieratik amaierara. Harian zehar garraiolari bat eta haren karga doaz, inoiz ez bata edo bestea ordezkatzen duen zerbait. Igo pila kanpotik barnera eta etiketatu zeharkatzen duzun muga bakoitza.

Hasi kanpoko garraiolaritik

Harian lehena 443 porturako TCP konexio arrunta da, bideratzaileek aurrera eramaten dituzten helbide errealekin. Konexio hori da sare-helbideen itzulpena gainditzen duena eta sarbide-hornitzaile batek konta dezakeena. Karga babesteak ez du garraiolaria kentzen, eta ez du bolumena ez denbora ezkutatzen.

Puntu honen ondorengo guztia garraiatu egiten da, ez bideratu. Garraiolariak lanean jarraitzen du barne trukeak huts egiten duenean ere.

Jarraitu enkapsulazioari barnera

Babestutako kanalaren barruan SSTP kontrol-truke bat dago, gero PPP saio bat, gero bezeroak entregatzea nahi duen sare-paketea. Geruza bakoitzak bere negoziazioa, bere errore-mezuak eta bere egoera-makina ditu. Beraz, matxura bat TLS matxura dirudi ikuspegi batetik eta PPP matxura bestetik. Geruzak ordenan irakurtzeak esaten du zein egoera-makina gelditu zen.

Kaptura bakar batek oso gutxitan erakusten du pila osoa. Kanpoko goiburuak amaierako puntutik kanpo soilik ikusten dira, eta barnekoak deskapsulatu ondoren soilik. Asimetria hori zuk zauden lekutik dator, ez protokoloitik.

Beheko diagramak geruzak taldekatzen ditu, horiei buruz hitz egin ahal izateko. Ez da byte-diseinua, ez du pakete bakoitzeko erregistro bat agintzen, eta ez du ezer esaten inplementazio batek zenbat eragiketa kriptografiko egiten dituen.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Etiketatu behatzailea kaptura bat irakurri aurretik

Saio beraren bi kapturak galdera desberdinei erantzuten diete, eta zein hartu ziren interfazeak erabakitzen du zeini. Sarbide-bidean garraiolaria eta TLS erregistroak ikusten dituzu, eta tamainak eta tarteak neurtu ditzakezu barne-helbiderik ikusi gabe. Amaierako puntuan, deskapsulatu ondoren, barne paketea trafiko arrunta da berariazko birbidalketa-politikaren pean.

Idatzi interfazea eta norabidea kaptura bakoitzean, interpretatu aurretik. Egokitzaile fisikotik hartutako arrastoak ez ditu inoiz barne-aplikazioaren helbideak kanpoko eremu arrunt gisa erakutsiko, eta hutsegite hori zifratze-matxura gisa irakurtzea ohiko akatsa da. Tunelaren barrualdetik hartutako arrastoak ez du garraiolaririk batere erakusten, beraz ezin dio hornitzailearen ikuspegiari buruzko galdera bati erantzun. Diziplina bera aplikatzen zaie amaierako puntuko erregistroei, negoziazio-ordena jasotzen dutenei, ez edukia.

Mantendu diagramak frogatu ezin dituen egiaztapenak

Geruzen ordenak ez du frogatzen inplementazio batek zerbitzariaren ziurtagiria baliozkotzen duenik, onartutako TLS bertsio bat negoziatzen duenik edo kontua baimetzen duenik. Horietako bakoitza enkapsulaziotik independenteki huts egiten duen konfigurazio-erabakia da.

Egiaztatu itzazu marrazki batetik arrazoitu beharrean negoziatu duena jakinarazten duen bezero batekin. Hasi TLS esku-ematearekin, gero SSTP trukea, gero PPP, eta gelditu errore bat jakinarazten duen lehen urratsean. Lehen komandoak katea eta negoziatutako bertsioa inprimatzen ditu, eta bigarrenak kaptura batean dauden esku-emateak zerrendatzen ditu.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Erlazionatutako artikuluak