Браузердин HTTPS ийгиликтүү болгон жерде SSTP ийгиликсиз болот: эмнеге
SSTP 443 портундагы TLS ичинде иштейт, бирок бул веб-суроо эмес. TCP, TLS инсандыгын, SSTP алмашуусун жана PPP аутентификациясын өзүнчө баскычтар катары текшериңиз.
Браузер VPN хост атын HTTPS аркылуу нааразылыксыз ачат, ал эми SSTP кардары дагы эле туташуудан баш тартат. Бул жупта карама-каршылык жок. SSTP TLSти тышкы транспорт катары колдонуп, андан кийин ошол туташуунун ичинде өз суроосун жана PPP жүгүн аткарат, ошондуктан баракчанын ийгиликтүү жүктөлүшү бир гана тар нерсени далилдейт: хост 443 портунда GETке жооп берет. Кардар башка суроо берип жатат, сервер ага начар жооп бериши мүмкүн.
Баракча жүктөлөт, туннель жүктөлбөйт
Адамдар браузер тестине кайрылат, анткени ал тез, анан натыйжаны сервердин жеткиликтүү жана конфигурацияланганынын далили катары кабыл алышат. Бул дарек тилкеси ачкан жолго GET жөнүндө далил, андан ашык эмес. VPN сүйлөшүүсү ошол эле TLS кол алышуудан кийин башталат, бирок жиберет веб-баракча эч качан колдонбогон ыкманы жана жолду. Ошондуктан браузерге берилген 200 жообу SSTP акыркы чекитинин бар-жоктугу жөнүндө эч нерсе айтпайт.
Эки байкоону бөлүңүз, издөө кыскарат. Транспорт жана сертификат чынжыры иштейт, ал эми алардын үстүндөгү протокол алмашуусунда бир нерсе иштебейт. Бул бузулган порт же мөөнөтү өткөн сертификаттан башка иликтөө жана башка далилдерди талап кылат.
SSTP кардары чындыгында эмне жиберет
Кардар /sra_{GUID}/ жолуна SSTP_DUPLEX_POST ыкмасы менен HTTP суроосун жиберет, анан туташуунун денесин PPP кадрларын ташыган эки багыттуу агым катары ачык кармайт. Ылайыктуу сервер HTTP/1.1 200 деп жооп берет жана веб-сервер сыяктуу жүрүм-турумду токтотот. Калганынын баары кол тамга: 405 же 404 акыркы чекит жоктугун, 301 же 302 бир нерсенин суроону кайра багыттап жатканын, ал эми дароо FIN прокси же сервер агымды жапканын билдирет.
Ошондуктан максат TLS сертификаты бекитилген веб-сервер эмес, SSTP сервери болушу керек. Ыкма, жол жана узак өмүрдүү дене протокол талаптары, ошондуктан тескери прокси аларды конфигурация менен гана кошо албайт. Кадимки HTTPSти кемчиликсиз өткөргөн прокси да өзү тааныбаган ыкмадан баш тартышы мүмкүн.
Прокси же веб-сервер агымды кайда үзөт
Ортомчу бир нерсе жиберүүдөн мурун HTTP суроо сабын текшерет, ал эми өзгөчө жолу бар ыңгайлаштырылган ыкма анын эрежелеринен өтпөй калышы мүмкүн. Айрым түзмөктөр кадимки баракчаны берип, туннелди четке кагат же үзөт, ошондуктан кардар таза баш тартуунун ордуна башталып, анан өлгөн туташууну билдирет. Башкалары суроону кабыл алып, анан PPP keepaliveлери чыдабаган дене же бош туруу тайм-аутун колдонот. Экөө тең кардар тараптан бирдей көрүнөт, ошондуктан кайсы баскыч ийгиликсиз болгону ката текстинен маанилүү.
443 портун веб-сайт менен SSTP ортосунда бөлүшүү маршруттоо тандоосу, ар бир секирик эки сүйлөшүүнү бирдей иштетет деген убада эмес. Эгер жолдо жүктөм теңдештиргич, брандмауэр же TLS аяктоочу болсо, VPN конфигурациясына тийүүдөн мурун аны шектүүлөр тизмесине кошуңуз.
Баскычтарды өзүнчө текшериңиз
Текшерүүлөрдү ирети менен аткарыңыз жана биринчи ийгиликсиздикте токтоңуз, анткени ар бир баскыч башка катмарды жокко чыгарат. Төмөнкү TLS зонду сертификаттын инсандыгын SSTP жасагандын баарынан бөлөт. Хост атын өз акыркы чекитиңиз менен алмаштырыңыз жана ал басып чыгарган subject жана чынжырды окуңуз.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comАнан калган далилдерди кардар катасынан божомолдоонун ордуна баскычтарга дал келтириңиз. Төмөнкү таблица билетте цитата келтирүү үчүн текшерүү тизмеси, бир ийгиликсиздикти кийинкисинен ажыратуучу кол тамга менен.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
Билетте "туташуу мүмкүн эмес" деп жазудын ордуна акыркы ийгиликтүү баскычты жазыңыз. MS-SSTP спецификациясы TLS кол алышуусунан кийинки суроону жана PPP алмашуусун документтештирет жана браузер тести эмнеге алардын эч бирин алмаштыра албастыгына шилтеме болуп саналат.
Алгач инсандык, анан PPP
TLS инсандыгы жана PPP аутентификациясы ырааттуу, альтернатива эмес, жана аларды аралаштыруу адамдарды туура эмес сервер жөндөөсүнө алып барат. Кардар алгач сервер сертификатын жана анын максатын текшерет, анан PPP өз абалын сүйлөшүп, колдонуучуну чакырык-жооп ыкмасы же EAP менен аутентификациялайт. Сертификат маселеси четке кагылган сырсөздөн башка ката берет, жана эч бир ката экинчиси камтыган баскычты сүрөттөбөйт.
Хост атын дарекке алмаштыруу же сертификат эскертүүсүнөн өтүп кетүү, ийгиликсиз баскычты аныктай турган текшерүүнү оңдоонун ордуна алып салат. Эскертүүнү сактап, аны окуңуз. HTTP алмашуусу SSTP жүрүм-турумуна эч качан жетпесе, PPP сырсөзүн кайра орнотпоңуз, анткени эсеп маалыматтары эч качан суралган эмес.