SSTP катмарлары түшүндүрүлдү: ички пакет дагы эмнени ачат

SSTP PPP менен ички пакетти TLS ичине ороп, бирок сырткы TCP байланышы ким ким менен сүйлөшкөнүн дагы көрсөтөт. Жазууну окуудан мурун ар бир катмарды белгилеңиз.

Көпчүлүк түшүндүрмөлөрдө SSTP жөнүндө эки факт биригип кетет, жана дал ошол биригүү жазууларды татаалдаштырат. Колдонмо пакети корголгон каналдын ичинде сакталат, ал эми ошол каналды ташыган TCP байланышы өз дарегин бүт жол бою сактайт. Зымдын үстүндө ташыгыч өз жүгү менен жүрөт, эч качан экөөнүн биринин ордун басуучу эмес. Стектен сырттан ичке карай өтүп, кесип өткөн ар бир чекти белгилеңиз.

Сырткы ташыгычтан баштаңыз

Зымдагы биринчи нерсе 443 портуна карай жөнөкөй TCP байланышы, маршрутизаторлор өткөрүп жиберген чыныгы даректер менен. Дал ошол байланыш тармактык даректерди которуудан аман калат жана кирүү провайдери санай алган нерсе болуп саналат. Пайдалуу жүктү коргоо ташыгычты жок кылбайт, жана ал көлөмдү же убакытты жашырбайт.

Бул чекиттен кийинкинин баары маршрутталуунун ордуна ташылат. Ички алмашуу ийгиликсиз болсо да ташыгыч иштеп жатат.

Инкапсуляцияны ичке карай ээрчиңиз

Корголгон каналдын ичинде SSTP башкаруу алмашуусу, андан кийин PPP сессиясы, андан кийин кардар жеткирүүнү каалаган тармактык пакет жатат. Ар бир катмардын өз сүйлөшүүсү, өз ката билдирүүлөрү жана өз абал машинасы бар. Ошондуктан бузулуу бир көз караштан TLS бузулуусу болуп, экинчисинен PPP бузулуусу болуп көрүнүшү мүмкүн. Катмарларды ирети менен окуу кайсы абал машинасы токтогонун айтат.

Бир жазуу бүт стекти сейрек көрсөтөт. Сырткы аталыштар акыркы чекиттен тышкары жерде гана көрүнөт, ичкилери декапсуляциядан кийин гана. Бул асимметрия сиз турган жерден келет, протоколдон эмес.

Төмөнкү диаграмма катмарларды топтоштурат, ошондо алар жөнүндө сүйлөшүүгө мүмкүн болот. Ал байттык жайгашуу эмес, ар бир пакетке бир жазуу убада кылбайт жана ишке ашыруу канча криптографиялык операция аткарганы тууралуу эч нерсе айтпайт.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Жазууну окуудан мурун байкоочуну белгилеңиз

Бир сессиянын эки жазуусу ар башка суроолорго жооп берет, кайсынысына кайсынысы экенин алар алынган интерфейс чечет. Кирүү жолунда сиз ташыгычты жана TLS жазууларын көрөсүз, ички даректи көрбөстөн өлчөмдөрдү жана аралыктарды өлчөй аласыз. Акыркы чекитте, декапсуляциядан кийин ички пакет жеке жеткирүү саясатынын астындагы кадимки трафик.

Түшүндүрүүдөн мурун ар бир жазууга интерфейс менен багытты жазыңыз. Физикалык адаптерден алынган из эч качан ички колдонмонун даректерин кадимки сырткы талаалар катары көрсөтпөйт, жана бул жоктукту шифрлөө бузулуусу деп окуу кеңири тараган ката. Туннелдин ичинен алынган из такыр ташыгычты көрсөтпөйт, ошондуктан провайдердин көз карашы тууралуу суроого жооп бере албайт. Ошол эле тартип акыркы чекиттин журналдарына да тиешелүү, алар мазмунду эмес, сүйлөшүү иретин жазышат.

Диаграмма далилдей албаган текшерүүлөрдү сактаңыз

Катмарлардын ирети жайгаштыруу сервердин сертификатын текшерет, колдоого алынган TLS версиясы боюнча сүйлөшөт же аккаунтка уруксат берет деп далилдебейт. Алардын ар бири инкапсуляциядан көз карандысыз ийгиликсиз болгон конфигурация чечими.

Аларды сүрөттөн тыянак чыгаргандын ордуна эмне боюнча сүйлөшкөнүн билдирген кардар менен текшериңиз. TLS кол алышуусунан баштаңыз, андан кийин SSTP алмашуусу, андан кийин PPP жана катаны билдирген биринчи баскычта токтоңуз. Биринчи буйрук чынжырды жана сүйлөшүлгөн версияны басып чыгарат, экинчиси жазуудагы кол алышууларды тизмелейт.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Тектеш макалалар