Teipeann SSTP nuair a n-éiríonn le HTTPS an bhrabhsálaí: cén fáth
Ritheann SSTP laistigh de TLS ar phort 443, ach ní iarratas gréasáin é. Tástáil TCP, céannacht TLS, malartú SSTP agus fíordheimhniú PPP mar chéimeanna ar leith.
Osclaíonn an brabhsálaí óstainm an VPN thar HTTPS gan ghearán, agus diúltaíonn an cliant SSTP ceangal fós. Níl aon rud contrártha sa phéire sin. Úsáideann SSTP TLS mar iompróir seachtrach agus ansin ritheann sé a iarratas féin agus a ualach PPP laistigh den nasc sin, mar sin ní chruthaíonn lódáil rathúil leathanaigh ach rud amháin cúng: freagraíonn an t-óstach GET ar phort 443. Tá ceist eile á cur ag an gcliant, agus b'fhéidir go bhfreagróidh an freastalaí go dona í.
Lódálann an leathanach agus ní lódálann an tollán
Sroicheann daoine an tástáil bhrabhsálaí mar go bhfuil sé tapa, agus ansin glacann siad leis an toradh mar chruthúnas go bhfuil an freastalaí inrochtana agus cumraithe. Cruthúnas é faoi GET chuig cibé cosán a d'oscail an barra seolta, agus ní rud ar bith eile. Tosaíonn comhrá an VPN tar éis an chroitheadh láimhe TLS céanna, ach seolann sé modh agus cosán nach n-úsáideann leathanach gréasáin riamh. Mar sin ní deir freagra 200 don bhrabhsálaí aon rud faoi cé acu a bhfuil deireadhphointe SSTP ann.
Deighil an dá bhreathnóireacht agus éiríonn an cuardach níos giorra. Oibríonn iompar agus slabhra na ndeimhniúchán, agus ní oibríonn rud éigin sa mhalartú prótacail os a gcionn. Is imscrúdú difriúil é sin ó phort briste nó deimhniúchán éagtha, agus teastaíonn fianaise dhifriúil uaidh.
Cad a sheolann an cliant SSTP i ndáiríre
Seolann an cliant iarratas HTTP leis an modh SSTP_DUPLEX_POST chuig an gcosán /sra_{GUID}/, agus ansin coinníonn sé corp an naisc oscailte mar shruth déthreoch a iompraíonn frámaí PPP. Freagraíonn freastalaí comhlíontach HTTP/1.1 200 agus stopann sé ag iompar mar fhreastalaí gréasáin. Aon rud eile is síniú é: ciallaíonn 405 nó 404 nach bhfuil an deireadhphointe ann, ciallaíonn 301 nó 302 go bhfuil rud éigin ag atreorú an iarratais, agus ciallaíonn FIN láithreach gur dhún seachfhreastalaí nó freastalaí an sruth.
Sin é an fáth go gcaithfidh an sprioc a bheith ina fhreastalaí SSTP seachas ina fhreastalaí gréasáin a bhfuil deimhniúchán TLS boltaithe air. Is ceanglais phrótacail iad an modh, an cosán agus an corp fadtréimhseach, mar sin ní féidir le seachfhreastalaí droim ar ais iad a chur leis ó chumraíocht amháin. Is féidir le seachfhreastalaí a sheolann HTTPS coitianta go foirfe fós modh a dhiúltú nach n-aithníonn sé.
Cá mbristear an sruth ag seachfhreastalaí nó freastalaí gréasáin
Scrúdaíonn idirghabhálaí líne an iarratais HTTP sula seolann sé aon rud, agus b'fhéidir go dteipfidh ar mhodh saincheaptha le cosán neamhghnách ina rialacha. Freastalaíonn roinnt feistí leathanach gnáth agus iad ag diúltú don tollán nó á chur isteach, mar sin tuairiscíonn an cliant nasc a thosaíonn agus a fhaigheann bás in ionad diúltaithe ghlain. Glacann cinn eile leis an iarratas, agus ansin cuireann siad teorainn ama coirp nó díomhaoine i bhfeidhm nach féidir le keepalives PPP maireachtáil tríthi. Breathnaíonn an dá rud mar an gcéanna ó thaobh an chliaint, agus is é sin an fáth go bhfuil an chéim a theip níos tábhachtaí ná téacs na hearráide.
Is rogha ródaithe é port 443 a roinnt idir suíomh gréasáin agus SSTP, ní geallúint go láimhseálann gach hop an dá chomhrá ar an mbealach céanna. Má tá cothromóir ualaigh, balla dóiteáin nó críochaitheoir TLS sa chosán, cuir leis an liosta amhrasach é sula dteagmhálann tú le cumraíocht an VPN.
Tástáil na céimeanna ar leith
Rith na seiceálacha in ord agus stop ag an gcéad teip, mar eisíonn gach céim cisil dhifriúil. Deighleann an probe TLS thíos céannacht an deimhniúcháin ó aon rud a dhéanann SSTP. Cuir d'ionadmharc in ionad an óstainm agus léigh an t-ábhar agus an slabhra a phriontálann sé.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comAnsin mapáil an fhianaise atá fágtha ar na céimeanna seachas buille faoi thuairim ó earráid an chliaint. Is é an tábla thíos an tseicliosta le lua sa ticéad, leis an síniú a dheighleann teip amháin ón gcéad cheann eile.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
Taifead an chéim dheireanach ar éirigh léi sa ticéad in ionad "ní féidir ceangal". Deir sonraíocht MS-SSTP an t-iarratas agus an malartú PPP a leanann an croitheadh láimhe TLS, agus is é an tagairt é do cén fáth nach féidir le tástáil bhrabhsálaí seasamh isteach do cheachtar acu.
Céannacht ar dtús, ansin PPP
Tá céannacht TLS agus fíordheimhniú PPP seicheamhach, ní malartach, agus cuireann meascadh na beirte iad daoine chuig an socrú freastalaí mícheart. Bailíochtaíonn an cliant deimhniúchán an fhreastalaí agus a fheidhm bheartaithe ar dtús, ansin déanann PPP idirbheartaíocht ar a staid féin agus fíordheimhníonn sé an t-úsáideoir le modh dúshláin-fhreagra nó EAP. Táirgeann fadhb deimhniúcháin earráid dhifriúil ó phasfhocal diúltaithe, agus ní chuireann ceachtar earráid síos ar an gcéim a chlúdaíonn an ceann eile.
Má chuirtear seoladh in ionad an óstainm, nó má chliceáiltear thar an rabhadh deimhniúcháin, baintear amach an seiceáil a d'fheadfadh an chéim a theip a shainaithint in ionad í a shocrú. Coinnigh an rabhadh agus léigh é. Ná hathshocraigh pasfhocal PPP ach an oiread nuair nár shroich an malartú HTTP iompar SSTP riamh, mar níor iarradh an creidiúnaí riamh.