SSTP slāņi skaidroti: ko vēl atklāj iekšējā pakete

SSTP iesaiņo PPP un iekšējo paketi TLS, taču ārējais TCP savienojums joprojām parāda, kas ar ko runāja. Atzīmējiet katru slāni pirms ieraksta lasīšanas.

Lielākajā daļā skaidrojumu divi fakti par SSTP saplūst kopā, un tieši šī saplūšana padara ierakstus mulsinošus. Lietotnes pakete saglabājas aizsargātā kanālā, un TCP savienojums, kas pārvadā šo kanālu, visu laiku saglabā savas adreses. Pa vadu iet nesējs kopā ar savu kravu, nekad ne viena no tiem aizstājējs. Ejiet cauri stekam no ārpuses uz iekšu un atzīmējiet katru robežu, ko šķērsojat.

Sāciet ar ārējo nesēju

Pirmā lieta uz vada ir parasts TCP savienojums uz 443 ostu ar īstām adresēm, ko maršrutētāji pārsūta. Tieši šis savienojums pārdzīvo tīkla adrešu tulkošanu un ir tas, ko piekļuves pakalpojumu sniedzējs var saskaitīt. Kravas aizsardzība nenoņem nesēju, un tā neslēpj apjomu vai laiku.

Viss pēc šī punkta tiek nests, nevis maršrutēts. Nesējs turpina darboties arī tad, kad iekšējā apmaiņa neizdodas.

Sekojiet iekapsulējumam uz iekšu

Aizsargātā kanālā atrodas SSTP vadības apmaiņa, tad PPP sesija, tad tīkla pakete, ko klients vēlas saņemt. Katram slānim ir savas sarunas, savi kļūdu ziņojumi un sava stāvokļa mašīna. Tāpēc kļūme no viena skatpunkta var izskatīties kā TLS kļūme un no cita kā PPP kļūme. Slāņu lasīšana secībā pasaka, kura stāvokļa mašīna apstājās.

Viens ieraksts reti parāda visu steku. Ārējās galvenes ir redzamas tikai ārpus galapunkta, bet iekšējās tikai pēc dekapsulācijas. Šī asimetrija nāk no tā, kur jūs stāvat, nevis no protokola.

Zemāk esošā diagramma grupē slāņus, lai par tiem vispār varētu runāt. Tā nav baitu izkārtojums, tā nesola vienu ierakstu uz paketi un neko nepasaka par to, cik kriptogrāfisku darbību veic ieviešana.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Atzīmējiet novērotāju pirms ieraksta lasīšanas

Divi vienas sesijas ieraksti atbild uz dažādiem jautājumiem, un saskarne, kurā tie uzņemti, nosaka, uz kuriem. Piekļuves ceļā jūs redzat nesēju un TLS ierakstus, un varat izmērīt izmērus un intervālus, neredzot iekšējo adresi. Galapunktā, pēc dekapsulācijas, iekšējā pakete ir parasta plūsma saskaņā ar privāto pārsūtīšanas politiku.

Uzrakstiet saskarni un virzienu uz katra ieraksta, pirms to interpretējat. Pēdas no fiziska adaptera nekad neparādīs iekšējās lietotnes adreses kā parastus ārējus laukus, un šī trūkuma lasīšana kā šifrēšanas kļūme ir izplatīta kļūda. Pēdas no tuneļa iekšpuses neparāda nekādu nesēju, tāpēc tā nevar atbildēt uz jautājumu par pakalpojumu sniedzēja skatījumu. Tā pati disciplīna attiecas uz galapunkta žurnāliem, kas reģistrē sarunu secību, nevis saturu.

Saglabājiet pārbaudes, ko diagramma nevar pierādīt

Slāņu secība nepierāda, ka izvietojums validē servera sertifikātu, vienojas par atbalstītu TLS versiju vai autorizē kontu. Katrs no tiem ir konfigurācijas lēmums, kas neizdodas neatkarīgi no iekapsulējuma.

Pārbaudiet tos ar klientu, kas ziņo, par ko tas vienojās, nevis spriežot no zīmējuma. Sāciet ar TLS rokasspiedienu, tad SSTP apmaiņu, tad PPP, un apstājieties pirmajā posmā, kas ziņo par kļūdu. Pirmā komanda izdrukā ķēdi un sarunāto versiju, bet otrā uzskaita ierakstā esošos rokasspiedienus.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Saistītie raksti