SSTP деңгейлері түсіндірілді: ішкі пакет әлі нені ашады

SSTP PPP мен ішкі пакетті TLS ішіне орайды, бірақ сыртқы TCP қосылымы кім кіммен сөйлескенін әлі көрсетеді. Жазбаны оқымас бұрын әр деңгейді белгілеңіз.

Көптеген түсіндірмелерде SSTP туралы екі дерек бірігіп кетеді, және дәл осы бірігу жазбаларды шатастырады. Қолданба пакеті қорғалған арнаның ішінде сақталады, ал сол арнаны тасымалдайтын TCP қосылымы өз мекенжайларын бүкіл жол бойы ұстайды. Сым бойымен тасығыш өз жүгімен жүреді, ешқашан екеуінің біреуінің орнын басушы емес. Стектен сырттан ішке қарай өтіп, кесіп өткен әр шекараны белгілеңіз.

Сыртқы тасығыштан бастаңыз

Сымдағы бірінші нәрсе 443 портына қарай қарапайым TCP қосылымы, маршрутизаторлар жіберетін нақты мекенжайлармен. Дәл осы қосылым желілік мекенжайларды түрлендіруден аман қалады және кіру провайдері санай алатын нәрсе болып табылады. Пайдалы жүкті қорғау тасығышты жоймайды, және ол көлемді немесе уақытты жасырмайды.

Осы нүктеден кейінгінің бәрі маршрутталудың орнына тасымалданады. Ішкі алмасу сәтсіз болса да тасығыш жұмысын жалғастырады.

Инкапсуляцияны ішке қарай бақылаңыз

Қорғалған арнаның ішінде SSTP басқару алмасуы, содан кейін PPP сессиясы, содан кейін клиент жеткізілуін қалайтын желілік пакет орналасқан. Әр деңгейдің өз келіссөзі, өз қате хабарламалары және өз күй машинасы бар. Сондықтан ақау бір көзқарастан TLS ақауы болып, екіншісінен PPP ақауы болып көрінуі мүмкін. Деңгейлерді ретімен оқу қай күй машинасы тоқтағанын айтады.

Бір жазба бүкіл стекті сирек көрсетеді. Сыртқы тақырыптар тек соңғы нүктеден тыс жерде көрінеді, ал ішкілері тек декапсуляциядан кейін. Бұл асимметрия сіз тұрған жерден келеді, протоколдан емес.

Төмендегі диаграмма деңгейлерді топтастырады, сонда олар туралы әңгімелеуге мүмкіндік болады. Ол байттық орналасу емес, әр пакетке бір жазба уәде етпейді және іске асырудың қанша криптографиялық операция орындайтыны туралы ештеңе айтпайды.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Жазбаны оқымас бұрын бақылаушыны белгілеңіз

Бір сессияның екі жазбасы әртүрлі сұрақтарға жауап береді, ал қайсысына қайсысы екенін олар алынған интерфейс шешеді. Кіру жолында сіз тасығышты және TLS жазбаларын көресіз, ішкі мекенжайды көрмей-ақ өлшемдер мен аралықтарды өлшей аласыз. Соңғы нүктеде, декапсуляциядан кейін ішкі пакет жеке жіберу саясаты бойынша қарапайым трафик болып табылады.

Әр жазбаға түсіндіруден бұрын интерфейс пен бағытты жазыңыз. Физикалық адаптерден алынған із ешқашан ішкі қолданбаның мекенжайларын қарапайым сыртқы өрістер ретінде көрсетпейді, және бұл жоқтықты шифрлау ақауы деп оқу жиі кездесетін қате. Туннельдің ішінен алынған із мүлде тасығышты көрсетпейді, сондықтан провайдердің көзқарасы туралы сұраққа жауап бере алмайды. Сол тәртіп соңғы нүктенің журналдарына да қатысты, олар мазмұнды емес, келіссөз тәртібін тіркейді.

Диаграмма дәлелдей алмайтын тексерулерді сақтаңыз

Деңгейлердің реті орналастыру сервер сертификатын тексеретінін, қолдау көрсетілетін TLS нұсқасы бойынша келіссөз жүргізетінін немесе тіркелгіге рұқсат беретінін дәлелдемейді. Олардың әрқайсысы инкапсуляцияға тәуелсіз сәтсіз болатын конфигурациялық шешім.

Оларды суреттен қорытынды жасаудың орнына не туралы келіскенін хабарлайтын клиентпен тексеріңіз. TLS қол алысуынан бастаңыз, содан кейін SSTP алмасуы, содан кейін PPP және қатені хабарлаған бірінші кезеңде тоқтаңыз. Бірінші пәрмен тізбекті және келісілген нұсқаны басып шығарады, ал екіншісі жазбадағы қол алысуларды тізімдейді.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Қатысты мақалалар