SSTP-lagen útlein: wat it ynderste pakket noch ferript

SSTP ferpaktet PPP en in ynderst pakket yn TLS, mar de bûtenste TCP-ferbining lit noch sjen wa't mei wa praat hat. Labelje elk laach foardat jo in opname lêze.

Twa feiten oer SSTP wurde yn de measte ferklearrings gearfoege, en krekt dy gearfoeging makket opnames betiizjend. It pakket fan de tapassing oerlibbet binnen it beskerme kanaal, en de TCP-ferbining dy't dat kanaal draacht, hâldt syn eigen adressen de hiele tiid. Wat oer de tried giet, is in drager plus syn lading, nea in ferfanging foar ien fan beide. Rin de stapel fan bûten nei binnen troch en labelje elke grins as jo dy oerstekke.

Begjin by de bûtenste drager

It earste op de tried is in gewoane TCP-ferbining nei poarte 443, mei echte adressen dy't routers trochstjoere. Krekt dy ferbining oerlibbet de oersetting fan netwurkadressen en is wat in tagongsprovider telle kin. It beskermjen fan de lading hellet de drager net fuort, en it ferberget ek gjin folume of timing.

Alles nei dit punt wurdt droegen yn stee fan rûte. De drager bliuwt wurkjen sels as de ynderste útwikseling mislearret.

Folgje de ynkapseling nei binnen

Binnen it beskerme kanaal sit in SSTP-stjoerútwikseling, dan in PPP-sesje, dan it netwurkpakket dat de klant levere wol. Elk laach hat syn eigen ûnderhanneling, syn eigen flaterberjochten en syn eigen tastânmasine. In stoaring kin dêrom fan it iene eachpunt as in TLS-stoaring lykje en fan it oare as in PPP-stoaring. De lagen yn oarder lêze fertelt jo hokker tastânmasine stoppe.

Ien opname lit selden de hiele stapel sjen. Bûtenste headers binne allinnich bûten it einpunt sichtber, en ynderste pas nei dekapsulaasje. Dy asymmetry komt fan wêr't jo steane, net fan it protokol.

It diagram hjirûnder groepearret de lagen sadat men der oer prate kin. It is gjin byte-yndieling, it ûnthjit net ien record per pakket, en it seit neat oer hoefolle kryptografyske operaasjes in ymplemintaasje docht.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Labelje de waarnimmer foardat jo in opname lêze

Twa opnames fan ien sesje beantwurdzje ferskillende fragen, en de ynterface dêr't se op makke binne, beslút hokker. Op it tagongspaad sjogge jo de drager en de TLS-records, en jo kinne maten en yntervallen mjitte sûnder in ynderst adres te sjen. By it einpunt, nei dekapsulaasje, is it ynderste pakket gewoane ferkear ûnder it privee trochstjoerbelied.

Skriuw de ynterface en de rjochting op elke opname foardat jo dy ynterpretearje. In spoar fan in fysike adapter sil nea de adressen fan de ynderste tapassing as gewoane bûtenste fjilden sjen litte, en it lêzen fan dat ûntbrekken as in fersiferingsstoaring is in gongbere flater. In spoar fan binnen de tunnel lit hielendal gjin drager sjen, dat it kin in fraach oer it eachpunt fan de provider net beantwurdzje. Deselde dissipline jildt foar de logs fan it einpunt, dy't de oarder fan de ûnderhanneling fêstlizze en net de ynhâld.

Hâld de kontrôles dy't it diagram net bewize kin

De oarder fan de lagen bewiist net dat in ymplemintaasje it sertifikaat fan de tsjinner falidearret, in stipe TLS-ferzje ûnderhannelet of it akkount autorisearret. Elk dêrfan is in konfiguraasjebeslút dat ûnôfhinklik fan de ynkapseling mislearret.

Ferifiearje se mei in klant dy't rapportearret wat er ûnderhannele hat, yn stee fan út in tekening te riddenearjen. Begjin mei de TLS-hânskodding, dan de SSTP-útwikseling, dan PPP, en stop by de earste stap dy't in flater rapportearret. It earste kommando printsje de keatling en de ûnderhannele ferzje, en it twadde listet de hânskoddings op dy't yn in opname steane.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Relatearre artikelen