Thóg SSTP port 443: cén fáth nach dtosóidh Apache

Stopann Apache ag freagairt ar 443 tráthnóna nuair a chuireann duine ceangail VPN isteach ar siúl, agus cuireann a loga earráidí an milleán ar an bind in ionad an áirithinte atá taobh thiar de. Casann Windows Routing and Remote Access SSTP ar siúl ag an nóiméad sin, agus éilíonn éisteoir SSTP TCP 443 tríd an gcruach HTTP sula ndéantar aon chliant a fhíordheimhniú. Seasann an t-éileamh fiú nuair a bhíonn an teastas ar iarraidh, an t-ainm mícheart nó gach handshake á dhiúltú, mar sin fanann VPN nach féidir le duine ar bith logáil isteach ann ar an port fós. Léigh tábla na héisteachta ar dtús; cinneann an PID a shealbhaíonn 443 cé acu de na réitigh thíos atá oscailte duit ar chor ar bith.

Maireann an áirithint thar theastas briste

Filltear SSTP le PPP taobh istigh de sheisiún TLS, agus is é sin an fáth a dteastaíonn 443 uaidh agus a dtrasnaíonn sé seachfhreastalaithe a ligeann tolláin eile thar ceal. Ní socket a osclaíonn an tseirbhís VPN di féin an t-éisteoir: cláraíonn SstpSvc leis an tiománaí HTTP eithne é, mar sin fanann an port áirithe chomh fada agus a ritheann an tseirbhís. Ní fhiosraíonn an clárú sin an teastas riamh, rud a chiallaíonn go bhfágann ainm as feidhm, subject míchuí nó gan aon teastas 443 á shealbhú. Roinntear teipeanna ansin in dhá threo: tagann handshakes diúltaithe i loga System faoi RasSstp, agus ní féidir leis an bhfreastalaí gréasáin a thuairisciú ach nach bhféadfadh sé ceangal a dhéanamh.

netstat -aon | findstr :443
tasklist /svc /fi "PID eq <pid>"

Tugann an chéad líne an PID shealbhaithe; ainmníonn an dara ceann an tseirbhís taobh thiar de, agus is gnách gurb é an tseirbhís HTTP nó an chruach RRAS an freagra. Nuair a tasklist freagraíonn le próiseas óstach roinnte, léigh colún na seirbhíse seachas buille faoi thuairim a thógáil ó ainm an phróisis.

Ní fiú rabhaidh RasSstp a léamh ach ina dhiaidh sin, mar déanann siad cur síos ar handshake a theip agus ní deir siad faic faoin áirithint a chruthaigh an t-imbhualadh. Sealbhaíonn críochphointe VPN a dhiúltaíonn gach cliant an port fós. Caith leis an loga mar an dara ceist, ní an chéad cheann.

Roinneann IIS an tiománaí, osclaíonn Apache socket

Tugann IIS a bindings don tiománaí eithne céanna a úsáideann SSTP, agus déanann an tiománaí sin teacht isteach a dhílámhú de réir ainm óstach agus réimír URL, mar sin is féidir iarraidh ar an dá sheirbhís 443 a bheith uathu gan ceachtar acu a theip. Déanann Apache agus nginx a mhalairt: glaonn siad bind ar a socket féin, agus diúltaíonn an córas oibriúcháin mar tá an seoladh á shealbhú cheana. Níl aon rud mícheart in aon cheann den dá chumraíocht; tá an difríocht i cé acu API a shealbhaíonn an port. Is é sin an fáth freisin a dtiteann cumasú an VPN suíomh amháin ar óstach amháin agus a bhfágtar suíomh comhionann ar óstach eile gan dochar.

Cinneann an neamhshiméadracht seo cruth an deisithe. Má tá IIS ina dhoras tosaigh cheana, tagann an t-imbhualadh chun bheith ina cheist faoi réimírí, bindings agus teastais. Má tá Apache ina dhoras tosaigh, bogann sé féin ó 443 nó bogann éisteoir SSTP, agus clúdaíonn an chéad chuid eile an dá ghluaiseacht.

Roghnaigh cén tseirbhís a choinníonn 443

Tá port an éisteora ina chónaí i luach clárlainne amháin, DWORD deachúil faoi eochair pharaiméadar Sstpsvc. Athraigh an luach, atosaigh Routing and Remote Access, agus deimhnigh ó thábla na héisteachta go bhfuil an seanphort saor.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort /t REG_DWORD /d 4443 /f
Restart-Service RemoteAccess

Roghnaigh port nach bhfuil ag teastáil ó aon rud eile ar an óstach, agus clóscríobh é i ndeachúil: reg add stórálann an DWORD go díreach mar a scríobhtar é, mar sin tagann luach a bhí beartaithe mar heicsidheachúil i dtír mar phort eile. Má deir an cheist nach bhfuil an luach ann, cruthaíonn an dara líne é. Restart-Service RemoteAccess scaoileann sé gach duine atá ceangailte, rud is fiú a sceidealú. Athrith an tseiceáil éisteachta ina dhiaidh sin, mar ciallaíonn iontráil stairiúil ar 443 gur choinnigh an tseirbhís a seanchlárú.

Tá praghas ar bhogadh an éisteora nach léiríonn an t-athrú clárlainne é. Diaileann gnáthchliaint SSTP 443, mar sin teastaíonn an port nua ó gach próifíl cliaint, agus stopann an sreabhadh ag breathnú cosúil le hiarratas gréasáin d’aon rud a dhéanann iniúchadh ar an gcosán. Ar líonra nach nglacann ach le trácht a bhreathnaíonn cosúil le HTTPS, baintear an chuid is mó den chúis ar roghnaíodh SSTP. Súnn daonra cliant beag, bainistithe é seo; ní shúnann bonn úsáideoirí poiblí nó BYOD é.

Coinníonn an ghluaiseacht eile 443 ag IIS agus caitheann sé le Apache mar backend a sheolann an seachfhreastalaí ar aghaidh chuige. Caomhnaíonn sé réamhshocrú SSTP agus fágann sé úinéir amháin don phort, ar chostas ceanntásca seolta ar aghaidh, seoladh cliaint nach bhfeiceann an feidhmchlár go díreach a thuilleadh, agus backend a chaithfidh an prótacal a labhairt a sheolann an seachfhreastalaí i ndáiríre.

Cruthaigh an t-úinéir, an teastas agus an handshake in ord

Ní chruthaíonn nasc TCP críochnaithe ach go bhfuil éisteoir ann agus ní dhéanann sé aon rud eile, agus is é sin an fáth a bhféadfadh scanadh port breathnú sláintiúil agus an tollán ag teip fós. Teipeann na ceithre chéim ar bhealaí éagsúla, agus de ghnáth déanann deisiú dírithe ar an gcéim nár bhris tú an t-imbhualadh a dhoimhniú. Oibrigh tríothu in ord agus stop san áit a n-aontaíonn an freagra.

netstat -aon | findstr :443
certutil -store My
Get-WinEvent -LogName System -ProviderName RasSstp -MaxEvents 20

Ainmníonn an chéad líne an PID atá ag coinneáil 443, agus ba cheart gurb í an tseirbhís a chumraigh tú díreach. Liostaíonn an dara ceann teastais mheaisín lena subjects, mar sin seasann ainm nach bhfuil ag teacht leis an seoladh i bpróifíl an chliaint amach láithreach. Filleann an cheist imeachtaí ar thaifead SSTP le déanaí, agus fágann handshake nach sroicheann riamh fíordheimhniú PPP taifead difriúil ón gceann a fhíordheimhnítear agus a dhiúltaítear ansin. Níl an chéim dheireanach le feiceáil ach ar an gcliaint, áit a dtuairiscíonn an iontráil ceangailte nó a n-ainmníonn sí an earráid PPP.

Nuair a chaithfidh óstach amháin an dá phost a dhéanamh, roghnaigh úinéir 443 go toiliúil agus scríobh an rogha síos, mar beidh an chéad duine eile a chuireann gné ar siúl ag athfhionnadh an imbhualadh seo mura ndéanfaidh tú. Fanann scaradh na ról mar an freagra is glaine: iompraíonn freastalaí gréasáin poiblí agus críochphointe rochtana cianda timthrialltaí paistí, teastas agus atosaithe ar leith, agus tagann na timthrialltaí sin le chéile ar a sceideal féin. Cibé scéal é, fág an tseiceáil éisteachta, cosán na clárlainne agus an port roghnaithe sa nóta láimhe.