SSTP huet de Port 443 geholl: firwat Apache net start

Apache hält de Mëtteg op op 443 ze äntweren, wéi een ankommend VPN-Verbindungen aschalt, an säi Feelerprotokoll beschëllegt de bind amplaz vun der Reservatioun déi dohannert steet. Windows Routing and Remote Access schalt SSTP deemools an, an de SSTP-Lauschterer fuerdert TCP 443 iwwer den HTTP-Stack, ier een Client sech authentifizéiert. D’Fuerderung gëllt och wann de Certificat feele kann, den Numm falsch ass oder all handshake ofgewisen gëtt, also bleift eng VPN an déi keen erakënnt op de Port. Liest fir d’éischt d’Lausch-Tabelle; de PID deen 443 huet entscheet, wéi eng vun den ënnen Korrekturen iwwerhaapt fir dech op ass.

D’Reservatioun iwwerlieft e kaputten Certificat

SSTP packt PPP an eng TLS-Sessioun, dofir brauch et 443 an dofir geet et duerch Proxien déi aner Tunnelen erofwerfen. De Lauschterer ass keen Socket deen de VPN-Service fir sech opmécht: SstpSvc registréiert en beim HTTP-Treiber vum Kernel, also bleift de Port reservéiert soulaang de Service leeft. Déi Registrierung kuckt ni an den Certificat, dat heescht en ofgelafenen Numm, en net passenden subject oder guer kee Certificat loossen 443 besat. Duerno deele sech d’Feeler an zwou Richtungen: ofgewisen handshakes landen am System-Log ënner RasSstp, während de Webserver just melle kann datt en net konnte binden.

netstat -aon | findstr :443
tasklist /svc /fi "PID eq <pid>"

Déi éischt Zeil gëtt de besëtzende PID zréck; déi zweet nennt den Service dohannert, an d’Äntwert ass meeschtens den HTTP-Service oder de RRAS-Stack. Wann tasklist mat engem gedeelte Hostprozess äntwert, liest d’Service-Kolonn amplaz vum Prozessnumm ze roden.

RasSstp-Warnunge si just duerno wäert gelies ze ginn, well se en handshake beschreiwen dee gescheitert ass an näischt iwwer d’Reservatioun soen déi de Konflikt verursaacht huet. E VPN-Endpunkt deen all Client ofweist besëtzt de Port nach ëmmer. Behandelt de Log als zweet Fro, net als éischt.

IIS deelt den Treiber, Apache mécht e Socket op

IIS iwwergëtt seng bindings un deeselwechten Kernel-Treiber deen SSTP benotzt, an deen Treiber spléckt ankommend Verbindungen no Hostnumm a URL-Präfix, sou datt béid Servicer kënne gefrot ginn 443 ze wëllen ouni datt ee vun hinnen feelt. Apache an nginx maachen et ëmgedréint: si ruffen bind op hirem eegene Socket un, an d’Betribssystem refuséiert well d’Adress schonn besat ass. An där enger wéi an där anerer Konfiguratioun ass näischt falsch; den Ënnerscheed läit doran, wéi eng API de Port besëtzt. Dofir geet och d’VPN aschalten eng Säit op engem Host ëm an léisst eng identesch Säit op engem aneren Host onberéiert.

Dës Asymmetrie entscheet d’Form vun der Reparatur. Wann IIS schonn d’Virier ass, gëtt de Konflikt eng Fro iwwer Präfixer, bindings a Certificaten. Wann Apache d’Virier ass, da réckelt entweder et vum 443 ewech oder de SSTP-Lauschterer, an den nächsten Abschnitt deckt béid Beweegungen.

Wielt wéi engem Service 443 bleift

De Lauschterport wunnt an engem eenzegen Registerwäert, engem dezimalen DWORD ënner dem Parameterschlëssel vun Sstpsvc. Ännert de Wäert, start Routing and Remote Access nei, a bestätegt aus der Lausch-Tabelle datt den ale Port fräi ass.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort /t REG_DWORD /d 4443 /f
Restart-Service RemoteAccess

Wielt e Port deen soss näischt um Host wëll, a tippt en dezimal an: reg add späichert den DWORD genee wéi en geschriwwe steet, also lant en Wäert dee als hexadezimal geduecht war als en aneren Port. Wann d’Ufro seet de Wäert existéiert net, da schaaft déi zweet Zeil en. Restart-Service RemoteAccess werft all eraus déi verbonne sinn, wat et wäert ass ze plangen. Fuert duerno d’Lausch-Prüfung nach eng Kéier duerch, well en alen Aschreiwung op 443 heescht datt de Service seng al Registrierung behalen huet.

De Lauschterer ze réckelen huet e Präis deen d’Registerännerung net weist. Gewéinlech SSTP-Cliente wielen 443, also brauch all Clientprofil den neie Port, an de Flux gläicht kengem Web-Ufro méi fir alles wat de Wee inspizéiert. Op engem Netz dat just Verkéier toleréiert deen ausgesäit wéi HTTPS, hëlt dat de gréissten Deel vum Grond ewech firwat SSTP gewielt gouf. Eng kleng, geréiert Clientpopulatioun absorbéiert dat; eng ëffentlech oder BYOD-Benotzerbasis net.

Déi aner Beweegung behält 443 bei IIS a behandelt Apache als Backend op deen de Proxy weiderleet. Et erhält den SSTP-Standard a léisst een Eegentemer fir de Port, op Käschte vu weidergeluedenen Headeren, enger Clientadress déi d’Applikatioun net méi direkt gesäit, an engem Backend dee muss déi Protokoll schwätzen déi de Proxy tatsächlech schéckt.

Beweist den Eegentemer, den Certificat an den handshake der Rei no

Eng fäerdeg TCP-Verbindung beweist datt et e Lauschterer gëtt an soss näischt, dofir kann e Portscan gesond ausgesinn während den Tunnel nach ëmmer feelt. Déi véier Etappe feele op verschidde Manéieren, an eng Reparatur déi op d’Etapp zilt déi s de net gebrach hues, verdéift meeschtens de Konflikt. Schaff se der Rei no duerch a stoppt do wou d’Äntwert sech spléckt.

netstat -aon | findstr :443
certutil -store My
Get-WinEvent -LogName System -ProviderName RasSstp -MaxEvents 20

Déi éischt Zeil nennt de PID deen 443 hält, an dat sollt de Service sinn deen s de just konfiguréiert hues. Déi zweet lëscht Maschinncertificaten mat hire subjects, also fält en Numm deen net mat der Adress am Clientprofil iwwerenee stëmmt direkt op. D’Evenement-Ufro gëtt rezent SSTP-Recorden zréck, an en handshake deen ni d’PPP-Authentifikatioun erreecht hannerléisst en anere Record wéi deen deen sech authentifizéiert an duerno refuséiert gëtt. Déi lescht Etapp ass just um Client ze gesinn, wou den Aschreiwung entweder verbonne mellt oder de PPP-Fehler nennt.

Wann een Host béid Aufgabe muss maachen, wielt den Eegentemer vun 443 bewosst a schreift d’Wiel op, well soss entdeckt déi nächst Persoun déi eng Funktioun aschalt dëse Konflikt nei. D’Rollen ze trenne bleift déi propperst Äntwert: e ëffentleche Webserver an en Endpunkt fir Fernzougrëff droen getrennte Patch-, Certificats- a Neistartszyklusen, an déi Zyklen trieden sech no hirem eegene Plang. Op alle Fall loosst d’Lausch-Prüfung, de Registerwee an de gewielten Port an der Iwwergabnotiz.