SSTP — бұл HTTPS үстіндегі PPP, 443 портындағы веб-бет емес

SSTP PPP-ны HTTPS қосылымының ішінде тасымалдайды, сондықтан ортадағы барлық нәрсеге ол веб-трафик сияқты көрінеді. TLS мен HTTP сыртқы арнаны құрады, содан кейін SSTP басқару хабарламалары туннельді дайындайды, ал PPP сессия мінезін қамтамасыз етеді. Сол мекенжайда бетті жүктейтін браузер бірінші кезеңнің тек бір бөлігін аяқтады. Мұны VPN тексерісі деп санау — жұмыс істеп тұрған проксиді протокол сәйкессіздігіне кінәлаудың жолы.

Төрт кезеңді ретімен аралаңыз, және сіз көріп отырған ақау солардың біріне түседі.

1-кезең: TCP және TLS

Клиент 443 портына TCP қосылымын ашады және TLS қол алысуын орындайды. Сертификат тізбегі клиент конфигурацияланған хост атына сәйкес болуы керек. Мұндағы атау сәйкессіздігі кез келген SSTP хабарламасы алмасылмай тұрып ақау тудырады, және SSTP ерекшелігі бұл сыртқы HTTPS арнасы әлдеқашан бар деп есептейді. Кейінгі кезеңдердегі ешнәрсе мұндағы сенім ақауын өтей алмайды.

Қарапайым веб-сервер бұл кезеңді мінсіз аяқтап, келесісінде сәтсіздікке ұшырауы мүмкін. TLS табысы сертификат туралы дәлел, оның артындағы протокол туралы емес.

2-кезең: HTTPS сұранысы

SSTP сұранысын арнайы әдіспен, SSTP_DUPLEX_POST арқылы жасайды және құжат қайтарудың орнына алмасуды ашық ұстайды. Кәдімгі бет сұраныстарына конфигурацияланған сервер немесе прокси қосылымды қабылдап, содан кейін әдісті қабылдамауы мүмкін. Сол бас тарту — адамдар әдетте 443 порты бұғатталған деп сипаттайтын үйлесімділік мәселесі.

Сервер журналындағы жауап кодын және әдісті оқыңыз. Бұл кезеңдегі бас тарту TCP күту уақытынан өзгеше мәселе, және екеуі әртүрлі түзетулерге әкеледі.

3-кезең: басқару хабарламалары

Сұраныс қабылданғаннан кейін SSTP туннельді келісіп, дайындайтын басқару хабарламаларын алмастырады. Бұлар HTTP сұраныстары емес, HTTPS денесінің ішіндегі протокол хабарламалары, сондықтан денелерді тексеріп, қайта жазатын прокси бет сұраныстарын тиіспеген күйде қалдырып, оларды бұза алады.

Міне осында терең тексеру құрылғысы өз атағын алады. Беттер жүктеліп, VPN сәтсіз болса, порттың ашық-жабықтығын емес, дене өзгертіліп жатқанын тексеріңіз.

4-кезең: PPP басқаруды алады

Содан кейін PPP сессия мінезін береді: байланысты келісу, аутентификация және одан кейінгі желілік деңгей конфигурациясы. PPP аутентификациясы клиент әлдеқашан өткен TLS тексерісінен бөлек. Клиент қабылдайтын сервер сертификаты пайдаланушының тіркелгі деректері жарамды ма, әлде есептік жазба рұқсат етілген бе — бұл туралы ештеңе айтпайды.

Қабылданған сертификат пен қабылданбаған кіру бір-біріне қайшы емес. Бұлар тәуелсіз нәтижелері бар дәйекті кезеңдер.

Аутентификацияның бірнеше рөлі бар

Клиент TLS серверінің жеке басын өзінің сенім қоймасына және конфигурацияланған атауға қарсы тексереді. Содан кейін PPP орналастыруға байланысты пайдаланушыны немесе машинаны аутентификациялайды. Сервер кімнің қосыла алатыны және неге қол жеткізе алатыны туралы өз саясатын қосуы мүмкін. Хост атын сертификаттың жеке басымен сәйкес ұстаңыз, өйткені шикі мекенжаймен алмастыру жұмыс істеп тұрған конфигурацияны атау тексерісінің ақауына айналдырады.

Ақау туралы қай кезең хабарлағанын жазып қойыңыз. Сертификат, әдіс, басқару хабарламасы, PPP аутентификациясы, содан кейін маршруттар: бес орын, бес түзету.

Браузер тексерісі нені көрсете алады және нені алмайды

Мекенжайда бетті жүктеу DNS шешімін, TCP қолжетімділігін және HTTP сөйлейтін бірдеңенің тыңдап тұрғанын дәлелдейді. Ол әдістің қабылданғанын, басқару алмасуының өмір сүретінін немесе PPP аутентификациясының конфигурацияланғанын дәлелдемейді. Портты өзгерту арқылы басқа профильді айналдырудың орнына SSTP іске асыратын клиентті пайдаланыңыз.

Сессия көтерілгеннен кейін де маршруттар, DNS және сервер жағындағы қайта бағыттау пайдаланушының неге қол жеткізе алатынын шешеді. Туннель — жол, рұқсат емес.