As capas de SSTP explicadas: que segue revelando o paquete interior

SSTP envolve PPP e un paquete interior dentro de TLS, pero a conexión TCP exterior segue amosando quen falou con quen. Etiquete cada capa antes de ler unha captura.

Dous feitos sobre SSTP fusiónanse na maioría das explicacións, e é esa fusión a que fai confusas as capturas. O paquete da aplicación sobrevive dentro da canle protexida, e a conexión TCP que transporta esa canle conserva as súas propias direccións en todo momento. Polo cable viaxa un portador máis a súa carga, nunca un substituto de ningún dos dous. Percorra a pila de fóra cara a dentro e etiquete cada fronteira ao cruzala.

Comece polo portador exterior

O primeiro no cable é unha conexión TCP corrente ao porto 443, con direccións reais que os encamiñadores reenvían. Esa conexión é a que sobrevive á tradución de direccións de rede e a que un provedor de acceso pode contar. Protexer a carga útil non elimina o portador, e non oculta o volume nin o tempo.

Todo o que vén despois deste punto transpórtase en lugar de encamiñarse. O portador segue funcionando aínda que o intercambio interior falle.

Siga a encapsulación cara a dentro

Dentro da canle protexida hai un intercambio de control SSTP, despois unha sesión PPP e despois o paquete de rede que o cliente quere que se entregue. Cada capa ten a súa propia negociación, as súas propias mensaxes de erro e a súa propia máquina de estados. Por iso un fallo pode parecer un fallo de TLS desde un punto de vista e un fallo de PPP desde outro. Ler as capas en orde indica que máquina de estados se detivo.

Unha soa captura raramente mostra toda a pila. As cabeceiras exteriores só son visibles fóra do punto final, e as interiores só tras a desencapsulación. Esa asimetría vén de onde está vostede, non do protocolo.

O diagrama seguinte agrupa as capas para que se poida falar delas. Non é unha disposición de bytes, non promete un rexistro por paquete e non di nada sobre cantas operacións criptográficas realiza unha implementación.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Etiquete o observador antes de ler unha captura

Dúas capturas dunha mesma sesión responden preguntas distintas, e a interface onde se tomaron decide cales. Na ruta de acceso ve o portador e os rexistros TLS, e pode medir tamaños e intervalos sen ver unha dirección interior. No punto final, tras a desencapsulación, o paquete interior é tráfico corrente baixo a política privada de reenvío.

Escriba a interface e a dirección en cada captura antes de interpretala. Un rastro tomado nun adaptador físico nunca amosará as direccións da aplicación interior como campos exteriores normais, e ler esa ausencia como un fallo de cifrado é un erro común. Un rastro tomado desde dentro do túnel non amosa ningún portador, así que non pode responder unha pregunta sobre a visión do provedor. A mesma disciplina se aplica aos rexistros do punto final, que anotan a orde da negociación e non os contidos.

Conserve as comprobacións que o diagrama non pode demostrar

A orde das capas non establece que un despregamento valide o certificado do servidor, negocie unha versión de TLS compatible ou autorice a conta. Cada unha delas é unha decisión de configuración que falla con independencia da encapsulación.

Compruébeas cun cliente que informe do que negociou en lugar de razoar a partir dun debuxo. Comece coa aperta de mans TLS, despois o intercambio SSTP, despois PPP, e detéñase na primeira etapa que informe dun erro. O primeiro comando imprime a cadea e a versión negociada, e o segundo enumera as apertas de mans presentes nunha captura.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Artigos relacionados