SSTP പോർട്ട് 443 ഏറ്റെടുത്തു: Apache എന്തുകൊണ്ട് ആരംഭിക്കുന്നില്ല

ആരെങ്കിലും ഇൻകമിംഗ് VPN കണക്ഷനുകൾ പ്രവർത്തനക്ഷമമാക്കുന്ന ഉച്ചയ്ക്ക് Apache 443-ൽ ഉത്തരം നൽകുന്നത് നിർത്തുന്നു, അതിന്റെ പിശക് ലോഗ് പിന്നിലെ റിസർവേഷനെയല്ല bind-നെ കുറ്റപ്പെടുത്തുന്നു. Windows Routing and Remote Access അതേ നിമിഷം SSTP പ്രവർത്തനക്ഷമമാക്കുന്നു, കൂടാതെ SSTP ലിസണർ ഏതെങ്കിലും ക്ലയന്റ് പ്രാമാണീകരിക്കപ്പെടുന്നതിന് മുൻപ് HTTP സ്റ്റാക്കിലൂടെ TCP 443 ആവശ്യപ്പെടുന്നു. സർട്ടിഫിക്കറ്റ് ഇല്ലാത്തപ്പോഴും പേര് തെറ്റായിരിക്കുമ്പോഴും എല്ലാ handshake-ഉം നിരസിക്കപ്പെടുമ്പോഴും ക്ലെയിം നിലനിൽക്കുന്നു, അതിനാൽ ആർക്കും ലോഗിൻ ചെയ്യാൻ കഴിയാത്ത VPN-ഉം പോർട്ടിൽ തന്നെ തുടരുന്നു. ആദ്യം കേൾക്കൽ പട്ടിക വായിക്കുക; 443 കൈവശമുള്ള PID ആണ് താഴെയുള്ള ഏത് പരിഹാരം നിങ്ങൾക്ക് തുറന്നിരിക്കുന്നു എന്ന് തീരുമാനിക്കുന്നത്.

റിസർവേഷൻ തകർന്ന സർട്ടിഫിക്കറ്റിനെ അതിജീവിക്കുന്നു

SSTP PPP-യെ TLS സെഷനുള്ളിൽ പൊതിയുന്നു, അതുകൊണ്ടാണ് അതിന് 443 ആവശ്യമായത്, അതുകൊണ്ടാണ് മറ്റ് ടണലുകൾ ഉപേക്ഷിക്കുന്ന പ്രോക്സികളിലൂടെ അത് കടന്നുപോകുന്നത്. ലിസണർ VPN സേവനം സ്വയം തുറക്കുന്ന socket അല്ല: SstpSvc അതിനെ കേർണൽ HTTP ഡ്രൈവറിൽ രജിസ്റ്റർ ചെയ്യുന്നു, അതിനാൽ സേവനം പ്രവർത്തിക്കുന്നിടത്തോളം പോർട്ട് റിസർവ് ചെയ്യപ്പെട്ടിരിക്കുന്നു. ആ രജിസ്ട്രേഷൻ ഒരിക്കലും സർട്ടിഫിക്കറ്റിനോട് ചോദിക്കുന്നില്ല, അതായത് കാലഹരണപ്പെട്ട പേര്, പൊരുത്തപ്പെടാത്ത subject അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റേ ഇല്ലാതിരിക്കുക എന്നിവ 443 നെ കൈവശത്തിലായി വിടുന്നു. പിന്നീട് പരാജയങ്ങൾ രണ്ട് ദിശകളിലേക്ക് പിളരുന്നു: നിരസിക്കപ്പെട്ട handshake-കൾ RasSstp-ന് കീഴിൽ System ലോഗിലേക്ക് പോകുന്നു, അതേസമയം വെബ് സർവറിന് bind ചെയ്യാനായില്ലെന്ന് റിപ്പോർട്ട് ചെയ്യാൻ മാത്രമേ കഴിയൂ.

netstat -aon | findstr :443
tasklist /svc /fi "PID eq <pid>"

ആദ്യ വരി ഉടമയായ PID നൽകുന്നു; രണ്ടാമത്തേത് അതിന് പിന്നിലെ സേവനത്തെ പേരിടുന്നു, ഉത്തരം സാധാരണയായി HTTP സേവനമോ RRAS സ്റ്റാക്കോ ആണ്. എപ്പോൾ tasklist പങ്കിട്ട ഹോസ്റ്റ് പ്രോസസ്സുമായി ഉത്തരം നൽകുന്നുവോ, പ്രോസസ്സിന്റെ പേരിൽ നിന്ന് ഊഹിക്കാതെ സേവന നിര വായിക്കുക.

RasSstp മുന്നറിയിപ്പുകൾ അതിനുശേഷം മാത്രമേ വായിക്കേണ്ടതുള്ളൂ, കാരണം അവ പരാജയപ്പെട്ട handshake വിവരിക്കുന്നു, സംഘർഷത്തിന് കാരണമായ റിസർവേഷനെപ്പറ്റി ഒന്നും പറയുന്നുമില്ല. എല്ലാ ക്ലയന്റുകളെയും നിരസിക്കുന്ന VPN എൻഡ്പോയിന്റും പോർട്ട് കൈവശം വയ്ക്കുന്നു. ലോഗിനെ രണ്ടാമത്തെ ചോദ്യമായി കാണുക, ആദ്യത്തേതായി അല്ല.

IIS ഡ്രൈവർ പങ്കിടുന്നു, Apache socket തുറക്കുന്നു

IIS തന്റെ bindings SSTP ഉപയോഗിക്കുന്ന അതേ കേർണൽ ഡ്രൈവറിന് നൽകുന്നു, ആ ഡ്രൈവർ ഇൻകമിംഗ് കണക്ഷനുകളെ ഹോസ്റ്റ് പേരും URL പ്രിഫിക്സും അനുസരിച്ച് വേർതിരിക്കുന്നു, അതിനാൽ രണ്ട് സേവനങ്ങൾക്കും 443 വേണമെന്ന് പറയാം, ഒന്നും പരാജയപ്പെടാതെ. Apache-ഉം nginx-ഉം വിപരീതമാണ് ചെയ്യുന്നത്: അവ സ്വന്തം socket-ൽ bind വിളിക്കുന്നു, വിലാസം ഇതിനകം കൈവശത്തിലായതിനാൽ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം നിരസിക്കുന്നു. രണ്ട് കോൺഫിഗറേഷനുകളിലും തെറ്റായി ഒന്നുമില്ല; വ്യത്യാസം ഏത് API പോർട്ട് കൈവശം വയ്ക്കുന്നു എന്നതിലാണ്. അതുകൊണ്ടാണ് VPN പ്രവർത്തനക്ഷമമാക്കുന്നത് ഒരു ഹോസ്റ്റിലെ ഒരു സൈറ്റ് വീഴ്ത്തുകയും മറ്റൊരു ഹോസ്റ്റിലെ അതേ സൈറ്റ് തൊടാതെ വിടുകയും ചെയ്യുന്നത്.

ഈ അസമത്വം അറ്റകുറ്റപ്പണിയുടെ രൂപം തീരുമാനിക്കുന്നു. IIS ഇതിനകം മുൻവാതിലാണെങ്കിൽ സംഘർഷം പ്രിഫിക്സുകൾ, bindings, സർട്ടിഫിക്കറ്റുകൾ എന്നിവയുടെ ചോദ്യമാകുന്നു. Apache മുൻവാതിലാണെങ്കിൽ ഒന്നുകിൽ അത് 443-ൽ നിന്ന് മാറുന്നു, അല്ലെങ്കിൽ SSTP ലിസണർ മാറുന്നു, അടുത്ത ഭാഗം രണ്ട് നീക്കങ്ങളും ഉൾക്കൊള്ളുന്നു.

443 ഏത് സേവനം നിലനിർത്തണമെന്ന് തിരഞ്ഞെടുക്കുക

ലിസണറുടെ പോർട്ട് ഒരു റജിസ്ട്രി മൂല്യത്തിൽ കഴിയുന്നു, Sstpsvc പാരാമീറ്റർ കീയ്ക്ക് കീഴിലുള്ള ദശാംശ DWORD. മൂല്യം മാറ്റുക, Routing and Remote Access പുനരാരംഭിക്കുക, പഴയ പോർട്ട് സ്വതന്ത്രമാണെന്ന് കേൾക്കൽ പട്ടികയിൽ നിന്ന് സ്ഥിരീകരിക്കുക.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort /t REG_DWORD /d 4443 /f
Restart-Service RemoteAccess

ഹോസ്റ്റിൽ മറ്റൊന്നും ആഗ്രഹിക്കാത്ത ഒരു പോർട്ട് തിരഞ്ഞെടുത്ത് ദശാംശത്തിൽ ടൈപ്പ് ചെയ്യുക: reg add DWORD-നെ എഴുതിയതുപോലെ തന്നെ സൂക്ഷിക്കുന്നു, അതിനാൽ ഹെക്സാഡെസിമലായി ഉദ്ദേശിച്ച മൂല്യം മറ്റൊരു പോർട്ടായി വീഴുന്നു. മൂല്യം നിലവിലില്ലെന്ന് ചോദ്യം പറഞ്ഞാൽ രണ്ടാം വരി അത് സൃഷ്ടിക്കുന്നു. Restart-Service RemoteAccess കണക്ട് ചെയ്തിരിക്കുന്ന എല്ലാവരെയും പുറത്താക്കുന്നു, അത് ആസൂത്രണം ചെയ്യേണ്ടതുണ്ട്. അതിനുശേഷം കേൾക്കൽ പരിശോധന വീണ്ടും പ്രവർത്തിപ്പിക്കുക, കാരണം 443-ൽ പഴയ എൻട്രി ഉണ്ടെങ്കിൽ സേവനം പഴയ രജിസ്ട്രേഷൻ നിലനിർത്തിയെന്നാണ് അർത്ഥം.

ലിസണർ നീക്കുന്നതിന് റജിസ്ട്രി മാറ്റം കാണിക്കാത്ത വിലയുണ്ട്. സാധാരണ SSTP ക്ലയന്റുകൾ 443 വിളിക്കുന്നു, അതിനാൽ ഓരോ ക്ലയന്റ് പ്രൊഫൈലിനും പുതിയ പോർട്ട് വേണം, പാത പരിശോധിക്കുന്ന ഏതിനും ഫ്ലോ വെബ് അഭ്യർത്ഥനയോട് സാമ്യമുള്ളതല്ലാതാകുന്നു. HTTPS പോലെ തോന്നുന്ന ട്രാഫിക് മാത്രം സഹിക്കുന്ന നെറ്റ്വർക്കിൽ, അത് SSTP തിരഞ്ഞെടുത്തതിന്റെ ഭൂരിഭാഗം കാരണവും നീക്കിക്കളയുന്നു. ചെറിയ, നിയന്ത്രിത ക്ലയന്റ് ജനസംഖ്യ ഇത് ഉൾക്കൊള്ളുന്നു; പൊതു അല്ലെങ്കിൽ BYOD ഉപയോക്തൃ അടിത്തറ അല്ല.

മറ്റൊരു നീക്കം 443 IIS-ൽ നിലനിർത്തി Apache-നെ പ്രോക്സി ഫോർവേഡ് ചെയ്യുന്ന backend ആയി കാണുന്നു. അത് SSTP ഡിഫോൾട്ട് സംരക്ഷിക്കുന്നു, പോർട്ടിന് ഒരു ഉടമയെ വിടുന്നു, എന്നാൽ ഫോർവേഡ് ചെയ്ത ഹെഡറുകൾ, ആപ്ലിക്കേഷൻ നേരിട്ട് കാണാത്ത ക്ലയന്റ് വിലാസം, പ്രോക്സി യഥാർത്ഥത്തിൽ അയക്കുന്ന പ്രോട്ടോക്കോൾ സംസാരിക്കേണ്ട backend എന്നിവയുടെ വിലയ്ക്ക്.

ഉടമ, സർട്ടിഫിക്കറ്റ്, handshake എന്നിവ ക്രമത്തിൽ തെളിയിക്കുക

പൂർത്തിയായ TCP കണക്ഷൻ ലിസണർ ഉണ്ടെന്ന് തെളിയിക്കുന്നു, അതിൽ കൂടുതലൊന്നുമില്ല, അതിനാൽ ടണൽ ഇപ്പോഴും പരാജയപ്പെടുമ്പോൾ പോർട്ട് സ്കാൻ ആരോഗ്യകരമായി തോന്നാം. നാല് ഘട്ടങ്ങൾ വ്യത്യസ്ത രീതികളിൽ പരാജയപ്പെടുന്നു, നിങ്ങൾ തകർക്കാത്ത ഘട്ടത്തെ ലക്ഷ്യമിടുന്ന അറ്റകുറ്റപ്പണി സാധാരണയായി സംഘർഷം ആഴത്തിലാക്കുന്നു. അവ ക്രമത്തിൽ ചെയ്ത് ഉത്തരം പിരിയുന്നിടത്ത് നിർത്തുക.

netstat -aon | findstr :443
certutil -store My
Get-WinEvent -LogName System -ProviderName RasSstp -MaxEvents 20

ആദ്യ വരി 443 കൈവശമുള്ള PID-നെ പേരിടുന്നു, അത് നിങ്ങൾ ഇപ്പോൾ കോൺഫിഗർ ചെയ്ത സേവനമായിരിക്കണം. രണ്ടാമത്തേത് മെഷീൻ സർട്ടിഫിക്കറ്റുകൾ അവയുടെ subjects-നൊപ്പം പട്ടികപ്പെടുത്തുന്നു, അതിനാൽ ക്ലയന്റ് പ്രൊഫൈലിലെ വിലാസവുമായി പൊരുത്തപ്പെടാത്ത പേര് ഉടൻ കണ്ണിൽപ്പെടും. ഇവന്റ് ചോദ്യം സമീപകാല SSTP രേഖകൾ നൽകുന്നു, PPP പ്രാമാണീകരണത്തിൽ എത്താത്ത handshake പ്രാമാണീകരിക്കപ്പെട്ട് പിന്നീട് നിരസിക്കപ്പെടുന്നതിൽ നിന്ന് വ്യത്യസ്ത രേഖ വിടുന്നു. അവസാന ഘട്ടം ക്ലയന്റിൽ മാത്രം ദൃശ്യമാണ്, അവിടെ എൻട്രി കണക്ട് ചെയ്തതായി റിപ്പോർട്ട് ചെയ്യുന്നു അല്ലെങ്കിൽ PPP പിശക് പേരിടുന്നു.

ഒരു ഹോസ്റ്റ് രണ്ട് ജോലികളും ചെയ്യേണ്ടിവന്നാൽ, 443-ന്റെ ഉടമയെ ബോധപൂർവം തിരഞ്ഞെടുത്ത് തിരഞ്ഞെടുപ്പ് എഴുതിവയ്ക്കുക, അല്ലാത്തപക്ഷം ഏതെങ്കിലും സവിശേഷത പ്രവർത്തനക്ഷമമാക്കുന്ന അടുത്ത വ്യക്തി ഈ സംഘർഷം വീണ്ടും കണ്ടെത്തും. റോളുകൾ വേർതിരിക്കുന്നതാണ് ഏറ്റവും വ്യക്തമായ ഉത്തരം: പൊതു വെബ് സർവറിനും ദൂര പ്രവേശന എൻഡ്പോയിന്റിനും വെവ്വേറെ പാച്ച്, സർട്ടിഫിക്കറ്റ്, പുനരാരംഭ ചക്രങ്ങളുണ്ട്, ആ ചക്രങ്ങൾ അവരുടേതായ ഷെഡ്യൂളിൽ കണ്ടുമുട്ടുന്നു. ഏതായാലും, കൈമാറ്റ കുറിപ്പിൽ കേൾക്കൽ പരിശോധന, റജിസ്ട്രി പാത, തിരഞ്ഞെടുത്ത പോർട്ട് എന്നിവ വിടുക.