TLS-ті тексеретін прокси артындағы SSTP: сессия қай жерде үзіледі

Браузеріңіз корпоративтік интранетті жүктейді, прокси сертификаты сенімді, бірақ SSTP клиенті қосылымның соңына таман үзіледі. Бұл үлгі қате құпия сөзді емес, веб-сұраныс пен туннельдік сессия арасындағы айырмашылықты көрсетеді. Қосылымды TCP-ден жоғары қарай аралап, бірінші сәтсіз кезеңді жазып алыңыз. Прокси себеп пе, жоқ па — мұны қате коды емес, кезең айтады.

Клиент тоқтайтын жерден бастаңыз

Клиент белгілі бір реттіліктен өтеді: 443 портына TCP қосылымы, TLS қол алысуы, сертификатты тексеру, SSTP-нің HTTP алмасуы, PPP келіссөзі мен аутентификациясы, содан кейін IP конфигурациясы. Әр кезеңдегі сәтсіздік түрлі із қалдырады, оларды шатастыру сізді дұрыс емес конфигурация бетіне апарады.

TCP сәтсіздігі — кез келген TLS байты пайда болмай тұрып болатын күту немесе қайта қосу. TLS сәтсіздігі — ескерту немесе қол алысудың күту уақыты. Сертификат сәтсіздігі тізбек немесе атау туралы ескерту шығарады. HTTP сәтсіздігі сәтті қол алысудан кейін келеді, көбіне күй коды немесе бірден жабылу түрінде. PPP сәтсіздігі туннель техникалық тұрғыдан орнатылғаннан кейін келеді, сондықтан ол аутентификация мәселесіне ұқсайды.

Бірінші қате жолын емес, клиент журналындағы соңғы сәтті кезеңді оқыңыз. Қате жолы әдетте салдарды хабарлайды, ал кезең шекарасы бас тартқан құрамдасты атайды.

SSTP желіден нені тасымалдауды талап етеді

SSTP TCP 443-те TLS үстінде жұмыс істейді, содан кейін SSTP спецификациясында анықталған SSTP_DUPLEX_POST аталатын HTTP сұранысын /sra_{GUID}/ түріндегі жолға жібереді. Сұраныс іс жүзінде шексіз мазмұн ұзындығын жариялайды және сессияның бүкіл өмірінде ағынды екі бағытта ашық ұстайды. PPP кадрлары сол ағынның ішінде қозғалады.

Сондықтан кәдімгі шолуды өңдейтін прокси де сәтсіздікке ұшырауы мүмкін. Соңы денесі бар GET немесе POST буферленіп, тексеріліп, жіберілуі мүмкін; ешқашан бітпейтін денесі бар дуплексті ағын мүмкін емес. Дененің аяқталуын күтетін прокси мәңгі күтеді, ал клиент ақырында күту уақытына тап болады.

Әдістерді сүзу және аутентификация өз сәтсіздік режимдерін қосады. Егер прокси сұраныстан тіркелгі деректерін талап етсе, браузер жауап берер еді, ал VPN клиенті жауап бермеуі мүмкін. Егер ол әдісті жойса немесе қайта жазса, шлюз PPP басталмай тұрып сұраныстан бас тартады.

Неліктен тексеру сәйкестікті өзгертеді

TLS-ті тексеретін прокси клиенттің TLS қосылымын аяқтап, шлюзге бөлек қосылым ашады. Сондықтан клиент шлюздің емес, проксидің сертификатын тексереді, ал шлюз проксиді өз серіктесі ретінде көреді. Ұйым өз түбірін таратқанда, браузер де, VPN клиенті де сол тізбекті қабылдауы мүмкін, сол себепті қол алысу сәтті өтеді де, мәселе келесі кезеңге көшеді.

Сәтті тексеру проксидің сессияны тасымалдай алатынын білдірмейді. Ол әлі де буферлеусіз шексіз екі бағытты POST-ты жеткізіп, екі қосылымды да сағаттар бойы тірі ұстауы керек. Көптеген тексеру өнімдері сұраныс-жауап трафигіне арналған және бұл жағдайды нашар немесе мүлде шешпейді.

Сол себепті белгісіз түбір қосу немесе тексеруді өшіру дұрыс емес жөндеу. Ол клиент қандай сертификатты қабылдайтынын өзгертеді; сессияны шынымен бұзған ағынды өңдеуге ол ештеңе жасамайды.

Параметрлерді өзгерту алдында шығарушыны анықтаңыз

Соңғы нүктеден қандай сертификат ұсынатынын және оған кім қол қойғанын сұраңыз. Төмендегі командалар VPN сессиясын бастамай-ақ тізбек пен шығарушыны көрсетеді:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Егер шығарушы жалпыға ортақ CA болса, бұл хост үшін қосылым ұсталмайды және сәтсіздік басқа жерде. Егер шығарушы ұйымның өз CA-сы болса, тексеру белсенді және шлюзге прокси арқылы жетеді. Тек атауына қарап қорытынды жасамас бұрын саусақ ізін желі командасы күткен ізбен салыстырыңыз.

Сол хостқа браузер тесті проксидің GET қабылдайтынын ғана дәлелдейді. Ол SSTP әдісі, сұраныс URI-ы немесе дененің өмірі туралы ештеңе айтпайды, сондықтан жұмыс істеп тұрған интранет бетін туннель жолының қолдауына дәлел деп санамаңыз.

Қолдау көрсетілетін жолды таңдаңыз

Желі иесіне бір нақты сұрақ қойыңыз: прокси осы шлюзге 443 портында буферсіз дуплексті POST-қа рұқсат бере ме? «Иә» проксидегі ерекшелікке немесе VPN хост үшін құжатталған айналып өтуге әкеледі. «Жоқ» тексерілген жолдың SSTP тасымалдай алмайтынын білдіреді, ал қолдау көрсетілетін түзету клиентті бұрау емес, басқа жол немесе протокол.

Нұсқаларға әдетте VPN шлюзі үшін тексерілмейтін шығыс, прокси арқылы тек корпоративтік трафикті жіберетін бөлінген туннель жобасы немесе ұйым басқа портта қолдайтын балама протокол кіреді. Әрқайсысы желілік дизайнға жатады және салыстыру жолды оқшаулауы үшін әрқайсысы бір құрылғымен және бір профильмен тексерілуі керек.

Нәтижені құжаттаңыз: шығарушы, сәтсіз кезең, прокси ережесі және таңдалған жол. Келесі адам сол 98 пайыздық тоқырауды көргенде бүкіл жүрісті қайталаудың орнына бір фактіні тексере алады.