SSTP-Schichte erkläert: wat den banneschten Paket nach verréit

Zwou Tatsaachen iwwer SSTP gi an de meeschten Erklärungen zu enger verschmolz, an genau déi Verschmelzung mécht Opnamen verwirrend. Den Applikatiounspaket iwwerlieft bannent dem geschützte Kanal, an d'TCP-Verbindung, déi dee Kanal dréit, behält ëmmer hir eege Adressen. Iwwer d'Leitung geet en Träger mat senger Fracht, ni en Ersatz fir eng vun deenen zwee. Gitt de Stack vun baussen no bannen duerch an etikettéiert all Grenz, déi Dir iwwerschreidt.

Fänkt beim baussechten Träger un

Dat éischt op der Leitung ass eng gewéinlech TCP-Verbindung op de Port 443, mat echte Adressen, déi Router virun schécken. Déi Verbindung ass et, déi d'Adressiwwersetzung vum Netzwierk iwwersteet an déi en Zougangsprovider ziele kann. D'Schütze vun der Notzlaascht hëlt den Träger net ewech, an et verstoppt och kee Volume an keng Zäit.

Alles no dësem Punkt gëtt gedroe statt geroutet. Den Träger schafft weider, och wann den banneschten Austausch feelt.

Follegt der Kapselung no bannen

Bannent dem geschützte Kanal sëtzt en SSTP-Steieraustausch, duerno eng PPP-Sessioun, duerno de Netzwierkpaket, deen de Client wëll geliwwert kréien. All Schicht huet hir eege Verhandlungen, hir eege Fehlermeldungen an hir eege Zoustandmaschinn. Dofir kann e Feeler aus engem Bléckwénkel wéi en TLS-Feeler ausgesinn an aus engem aneren wéi en PPP-Feeler. Liest een d'Schichte mateneen a Reiefolleg, da weess een, wéi eng Zoustandmaschinn gestoppt huet.

Eng eenzeg Opnam weist seelen de ganzen Stack. Baussecht Header sinn nëmmen ausserhalb vum Endpunkt ze gesinn, a banneschter nëmmen no der Entkapselung. Déi Asymmetrie kënnt dohier, wou Dir stitt, net vum Protokoll.

D'Diagramm hei drënner gruppéiert d'Schichten, sou datt een iwwerhaapt kann doriwwer schwätzen. Et ass kee Byte-Layout, et versprécht keen Datensaz pro Paket, an et seet näischt doriwwer, wéi vill kryptographesch Operatiounen eng Implementatioun ausféiert.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Etikettéiert den Observateur, ier Dir eng Opnam liest

Zwou Opname vun enger Sessioun beäntwerten ënnerschiddlech Froen, an de Schnëttstelle, op deem se geholl goufen, entscheet wéi eng. Um Zougangswee gesitt Dir den Träger an d'TLS-Datensätz, an Dir kënnt Gréissten an Intervaller moossen, ouni eng banneschte Adress ze gesinn. Um Endpunkt, no der Entkapselung, ass de banneschte Paket gewéinlechen Trafik ënner der privater Weiderleedungspolitik.

Schreift de Schnëttstelle an d'Richtung op all Opnam, ier Dir se interpretéiert. Eng Spuer vun engem physeschen Adapter wäert ni d'Adressen vun der banneschter Applikatioun als gewéinlech baussecht Felder weisen, an dës Fehlen als Verschlësselungsfeeler ze liesen ass e geleefege Feeler. Eng Spuer vun bannen aus dem Tunnel weist guer keen Träger, also kann se keng Fro iwwer d'Siicht vum Provider beäntwerten. Déi selwecht Disziplin gëllt fir d'Logbicher vum Endpunkt, déi d'Reiefolleg vun de Verhandlunge festhalen an net den Inhalt.

Behält d'Kontrollen, déi d'Diagramm net ka beweisen

D'Reiefolleg vun de Schichte beweist net, datt eng Installatioun de Serverzertifikat validéiert, eng ënnerstëtzt TLS-Versioun verhandelt oder de Kont autoriséiert. Jidderee vun dësen ass eng Konfiguratiounsentscheedung, déi onofhängeg vun der Kapselung feelt.

Iwwerpréift se mat engem Client, dee mellt, wat hien ausgehandelt huet, amplaz aus enger Zeechnung ze schléissen. Fänkt mam TLS-Handshake un, duerno dem SSTP-Austausch, duerno PPP, a stoppt bei der éischter Etapp, déi e Feeler mellt. Déi éischt Kommando dréckt d'Kette an déi ausgehandelt Versioun aus, déi zweet lëscht d'Handshakes, déi an enger Opnam präsent sinn.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"