SSTP — бул HTTPS үстүндөгү PPP, 443 портундагы веб-барак эмес

SSTP PPPны HTTPS туташуусунун ичинде ташыйт, ошондуктан ортодогу бардык нерсе үчүн ал веб-трафик сыяктуу көрүнөт. TLS жана HTTP тышкы каналды түзөт, андан кийин SSTP башкаруу билдирүүлөрү туннелди даярдайт, ал эми PPP сессиянын жүрүм-турумун камсыз кылат. Ошол эле даректе барак жүктөгөн браузер биринчи баскычтын бир бөлүгүн гана бүтүрдү. Муну VPN текшерүүсү деп эсептөө иштеп жаткан проксини протокол дал келбөөгө айыптоонун жолу.

Төрт баскычты ирети менен өтүңүз, жана сиз көрүп жаткан бузулуу ошолордун бирине түшөт.

1-баскыч: TCP жана TLS

Кардар 443 портуна TCP туташуусун ачат жана TLS кол алышуусун аткарат. Сертификат тизмеги кардар конфигурацияланган хост атына дал келиши керек. Бул жердеги ат дал келбестик кандайдыр бир SSTP билдирүүсү алмашуудан мурун бузулуу жаратат, жана SSTP спецификациясы бул тышкы HTTPS каналы буга чейин бар деп эсептейт. Кийинки баскычтардагы эч нерсе бул жердеги ишеним бузулуусун ордун толтура албайт.

Кадимки веб-сервер бул баскычты кемчиликсиз бүтүрүп, кийинкисинде ийгиликсиз болушу мүмкүн. TLS ийгилиги сертификат жөнүндө далил, анын артындагы протокол жөнүндө эмес.

2-баскыч: HTTPS суроосу

SSTP суроосун атайын ыкма менен, SSTP_DUPLEX_POST аркылуу жасайт жана документ кайтаруунун ордуна алмашууну ачык кармайт. Кадимки барак суроолоруна конфигурацияланган сервер же прокси туташууну кабыл алып, андан кийин ыкманы четке кагышы мүмкүн. Ошол четке кагуу — адамдар адатта 443 порту тосмолонгон деп сүрөттөгөн шайкештик маселеси.

Сервер журналындагы жооп кодун жана ыкманы окуңуз. Бул баскычтагы четке кагуу TCP күтүү убактысынан башка маселе, жана экөө ар башка түзөтүүлөргө алып барат.

3-баскыч: башкаруу билдирүүлөрү

Суроо кабыл алынгандан кийин SSTP туннелди сүйлөшүп, даярдаган башкаруу билдирүүлөрүн алмаштырат. Булар HTTP суроолору эмес, HTTPS денесинин ичиндеги протокол билдирүүлөрү, ошондуктан денелерди текшерип, кайра жазган прокси барак суроолорун тийбей калтырып, аларды буза алат.

Мына ушунда терең текшерүүчү түзмөк өз атагын алат. Барактар жүктөлүп, VPN ийгиликсиз болсо, порттун ачык-жабыктыгын эмес, дене өзгөртүлүп жатканын текшериңиз.

4-баскыч: PPP башкарууну алат

Андан кийин PPP сессиянын жүрүм-турумун берет: байланышты сүйлөшүү, аутентификация жана андан кийинки тармактык катмардын конфигурациясы. PPP аутентификациясы кардар буга чейин өткөн TLS текшерүүсүнөн өзүнчө. Кардар кабыл алган сервер сертификаты колдонуучунун эсептик маалыматтары жарактуубу же эсеп уруксат берилгенби — бул жөнүндө эч нерсе айтпайт.

Кабыл алынган сертификат жана четке кагылган кирүү бири-бирине карама-каршы эмес. Булар көз карандысыз натыйжалары бар ырааттуу баскычтар.

Аутентификациянын бир нече ролу бар

Кардар TLS серверинин инсандыгын өзүнүн ишеним кампасына жана конфигурацияланган атка каршы текшерет. Андан кийин PPP жайгаштырууга жараша колдонуучуну же машинаны аутентификациялайт. Сервер ким туташа алары жана эмнеге жете алары жөнүндө өз саясатын кошо алат. Хост атын сертификаттын инсандыгына шайкеш кармаңыз, анткени чийки дарек менен алмаштыруу иштеп жаткан конфигурацияны ат текшерүү бузулуусуна айландырат.

Кайсы баскыч бузулуу жөнүндө билдиргенин жазып коюңуз. Сертификат, ыкма, башкаруу билдирүүсү, PPP аутентификациясы, андан кийин маршруттар: беш орун, беш түзөтүү.

Браузер текшерүүсү эмнени көрсөтө алат жана эмнени көрсөтө албайт

Даректе барак жүктөө DNS чечимин, TCP жеткиликтүүлүгүн жана HTTP сүйлөгөн бир нерсенин угуп жатканын далилдейт. Ал ыкманын кабыл алынганын, башкаруу алмашуусунун тирүү калганын же PPP аутентификациясынын конфигурацияланганын далилдебейт. Портту өзгөртүп башка профилди айландыруунун ордуна SSTP ишке ашырган кардарды колдонуңуз.

Сессия көтөрүлгөндөн кийин да маршруттар, DNS жана сервер тараптагы багыттоо колдонуучу эмнеге жете аларын чечет. Туннель — жол, уруксат эмес.