SSTP-lögin útskýrð: hvað innra pakkinn afhjúpar enn

SSTP vefur PPP og innra pakka inn í TLS, en ytra TCP-tengingin sýnir enn hver talaði við hvern. Merktu hvert lag áður en þú lest upptöku.

Tvær staðreyndir um SSTP renna saman í flestum skýringum, og það er samruninn sem gerir upptökur ruglingslegar. Forritapakkinn lifir inni í hinni varða rás, og TCP-tengingin sem ber rásina heldur eigin vistföngum sínum alla leið. Það sem fer um vírinn er burðarefni ásamt farmi sínum, aldrei staðgengill fyrir hvort tveggja. Gakktu niður staflann að utan og inn og merktu hver mörk sem þú ferð yfir.

Byrjaðu á ytra burðarefninu

Það fyrsta á vírnum er venjuleg TCP-tenging á gátt 443, með raunverulegum vistföngum sem beinar senda áfram. Það er þessi tenging sem lifir netfangauðlýsingu og það sem aðgangsveitandi getur talið. Vernd farmsins fjarlægir ekki burðarefnið, og það felur hvorki rúmmál né tímasetningu.

Allt eftir þennan punkt er borið frekar en beint. Burðarefnið heldur áfram að virka jafnvel þegar innri skiptin mistakast.

Fylgdu innpakningunni inn

Inni í hinni varða rás liggur SSTP-stýriskipti, þá PPP-lota, þá netpakkinn sem biðlarinn vill fá afhentan. Hvert lag hefur sína eigin samningaviðræður, sín eigin villuboð og sína eigin stöðuvél. Villa getur því litið út eins og TLS-villa frá einu sjónarhorni og PPP-villa frá öðru. Að lesa lögin í röð segir til um hvaða stöðuvél stöðvaðist.

Ein upptaka sýnir sjaldan allan staflann. Ytri hausar eru aðeins sýnilegir utan endapunktsins og innri aðeins eftir afpökkun. Þessi ósamhverfa kemur frá því hvar þú stendur, ekki frá samskiptareglunum.

Skýringarmyndin hér að neðan flokkar lögin svo hægt sé að tala um þau yfirleitt. Hún er ekki bætaröðun, hún lofar ekki einni færslu á pakka og segir ekkert um hversu margar dulritunaraðgerðir útfærsla framkvæmir.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Merktu athugandann áður en þú lest upptöku

Tvær upptökur af sömu lotu svara mismunandi spurningum, og viðmótið sem þær voru teknar á ræður því hvorum. Á aðgangsleiðinni sérðu burðarefnið og TLS-færslurnar, og þú getur mælt stærðir og bil án þess að sjá innra vistfang. Við endapunktinn, eftir afpökkun, er innri pakkinn venjuleg umferð undir einkarekinu framsendingarstefnunni.

Skrifaðu viðmótið og stefnuna á hverja upptöku áður en þú túlkar hana. Slóð frá raunverulegum millistykki mun aldrei sýna vistföng innra forritsins sem venjulega ytri reiti, og að lesa þá fjarveru sem dulritunarbilun er algeng mistök. Slóð innan úr göngunum sýnir alls ekkert burðarefni, þannig að hún getur ekki svarað spurningu um sjónarhorn veitandans. Sama agi gildir um annála endapunktsins, sem skrá röð samningaviðræðnanna en ekki innihaldið.

Haltu prófununum sem myndin getur ekki sannað

Röð laganna sannar ekki að uppsetning staðfesti vottorð þjónsins, semji um studda TLS-útgáfu eða heimili reikninginn. Hvert þeirra er stillingarákvörðun sem bregst óháð innpökkuninni.

Sannprófaðu þær með biðlara sem tilkynnir hvað hann samdi um í stað þess að álykta af teikningu. Byrjaðu á TLS-handabandi, svo SSTP-skiptum, svo PPP, og stöðvaðu á fyrsta stigi sem tilkynnir villu. Fyrsta skipunin prentar keðjuna og samninguðu útgáfuna, og sú seinni listar handaböndin sem eru í upptöku.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Tengdir greinar