SSTP taobh thiar de sheachfhreastalaí a dhéanann iniúchadh TLS: cá dtagann an seisiún as a chéile

Lódálann do bhrabhsálaí an t-inlíonra corparáideach, tá teastas an tseachfhreastalaí iontaofa, agus fós féin tagann cliant SSTP anuas gar do dheireadh an naisc. Cuireann an patrún sin i dtreo an difríochta idir iarratas gréasáin agus seisiún tolláin, ní i dtreo focal faire mícheart. Siúlaigh an nasc ó TCP aníos agus tabhair faoi deara an chéad chéim a theipeann. Is í an chéim, ní an cód earráide, a insíonn duit an é an seachfhreastalaí an chúis.

Tosaigh san áit a stopann an cliant

Téann an cliant trí sheicheamh seasta: nasc TCP chuig port 443, croitheadh lámh TLS, bailíochtú teastais, malartú HTTP SSTP, idirbheartaíocht agus fíordheimhniú PPP, agus ansin cumraíocht IP. Fágann teip ag gach céim síniú difriúil, agus cuireann meascadh na gcinn sin chuig an leathanach cumraíochta mícheart thú.

Is éard is teip TCP ann amo nó athshocrú sula bhfeictear aon bheart TLS. Is éard is teip TLS ann foláireamh nó amo croitheadh láimhe. Cruthaíonn teip teastais foláireamh faoin slabhra nó faoin ainm. Tagann teip HTTP tar éis croitheadh láimhe rathúil, go minic mar chód stádais nó mar dhúnadh láithreach. Tagann teip PPP tar éis an tollán a bheith bunaithe go teicniúil, agus sin an fáth a bhfuil cuma fadhb fhíordheimhniúcháin uirthi.

Léigh log an chliaint le haghaidh na chéime rathúla deireanaí seachas an chéad líne earráide. Is é an líne earráide an cliant ag tuairisciú an iarmhairt de ghnáth, agus ainmníonn teorainn na céime an chomhpháirt a dhiúltaigh.

Cad a iarrann SSTP ar an líonra a iompar

Ritheann SSTP thar TLS ar TCP 443 agus ansin seolann sé iarratas HTTP darb ainm SSTP_DUPLEX_POST, atá sainithe sa sonraíocht SSTP, chuig cosán den fhoirm /sra_{GUID}/. Fógraíonn an t-iarratas fad ábhair atá gan teorainn go praiticiúil agus coimeádann sé an sruth oscailte sa dá threo ar feadh shaolré an tseisiúin. Taistealaíonn frámaí PPP taobh istigh den sruth sin.

Sin an fáth ar féidir le seachfhreastalaí a láimhseálann gnáthbhrabhsáil teip fós. Is féidir GET nó POST le corp críochta a mhaolú, a iniúchadh agus a sheoladh ar aghaidh; ní féidir le sruth déphléacsach a bhfuil corp aige nach gcríochnaíonn choíche. Fanann seachfhreastalaí a fhanann le corp a chríochnú go deo, agus téann an cliant thar am ar deireadh.

Cuireann scagadh modhanna agus fíordheimhniú a gcuid mód teipe féin leis. Má iarrann an seachfhreastalaí dintiúirí ar an iarratas, b’fhéidir nach bhfreagróidh an cliant VPN cé go bhfreagródh an brabhsálaí. Má bhaineann sé an modh nó má athscríobhann sé é, diúltaíonn an geata don iarratas sula dtosaíonn PPP.

Cén fáth a n-athraíonn iniúchadh an fhéiniúlacht

Cuireann seachfhreastalaí a dhéanann iniúchadh TLS deireadh le nasc TLS an chliaint agus osclaíonn sé nasc ar leith chuig an ngeata. Dá bhrí sin bailíochtaíonn an cliant teastas an tseachfhreastalaí, ní teastas an gheata, agus feiceann an geata an seachfhreastalaí mar a chomhghleacaí. Nuair a dháileann an eagraíocht a fréamh féin, is féidir leis an mbrabhsálaí agus leis an cliant VPN an slabhra sin a ghlacadh araon, mar sin éiríonn leis an croitheadh láimhe agus bogann an fhadhb chuig an gcéad chéim eile.

Ní chiallaíonn bailíochtú rathúil gur féidir leis an seachfhreastalaí an seisiún a iompar. Caithfidh sé POST déthreoch gan teorainn a aistriú gan mhaolú fós, agus an dá nasc a choimeád beo ar feadh uaireanta. Tá go leor táirgí iniúchta tógtha le haghaidh tráchta iarratas-freagra agus láimhseálann siad an cás seo go dona nó ní láimhseálann ar chor ar bith.

Sin an fáth freisin gurb é cur le fréamh anaithnid nó díchumasú fíorú an deisiú mícheart. Athraíonn sé cén teastas a ghlacann an cliant; ní dhéanann sé aon rud faoin láimhseáil srutha a bhris an seisiún i ndáiríre.

Aithin an t-eisitheoir sula n-athraíonn tú socruithe

Fiafraigh den deireadhphointe cén teastas a chuireann sé i láthair agus cé a shínigh é. Taispeánann na horduithe thíos an slabhra agus an t-eisitheoir gan seisiún VPN a thosú:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Má tá an t-eisitheoir ina CA poiblí, is dócha nach bhfuil an nasc á idircheapadh don óstach seo agus tá an teip in áit eile. Má tá an t-eisitheoir ina CA féin na heagraíochta, tá iniúchadh gníomhach agus sroichtear an geata trí sheachfhreastalaí. Cuir an mhéarlorg i gcomparáid leis an gceann a bhfuil súil ag an bhfoireann líonra leis sula dtagann tú chun críche ón ainm amháin.

Tástáil bhrabhsálaí chuig an óstach céanna ní chruthaíonn sí ach go nglacann an seachfhreastalaí le GET. Ní deir sí faic faoi mhodh SSTP, faoi URI an iarratais ná faoi shaolré an choirp, mar sin ná glac leathanach inlíonra atá ag obair mar chruthúnas go bhfuil cosán an tolláin tacaíochta.

Roghnaigh an cosán tacaíochta

Cuir ceist chruinn amháin ar úinéir an líonra: an gceadaíonn an seachfhreastalaí POST déphléacsach gan mhaolú chuig an ngeata seo ar phort 443? Tugann sea eisceacht sa seachfhreastalaí nó seachaint dhoiciméadaithe don óstach VPN. Ciallaíonn ní nach féidir leis an gcosán iniúchta SSTP a iompar, agus is é an deisiú tacaíochta cosán nó prótacal eile, ní coigeartú ar an gcliant.

I measc na roghanna de ghnáth tá egress neamh-iniúchta don gheata VPN, dearadh tolláin scoilte a sheolann trácht corparáideach amháin tríd an seachfhreastalaí, nó prótacal malartach a thacaíonn an eagraíocht air ar phort eile. Baineann gach ceann le dearadh an líonra, agus ba cheart gach ceann a thástáil leis an ngléas agus leis an bpróifíl chéanna ionas go leithliseoidh an chomparáid an cosán.

Déan an toradh a dhoiciméadú: eisitheoir, céim theip, riail an tseachfhreastalaí agus an cosán roghnaithe. Ansin is féidir leis an gcéad duine eile a fheiceann an stad céanna ag 98 faoin gcéad fíric amháin a sheiceáil in ionad an siúlóid iomlán a athdhéanamh.