TLS шалгадаг проксины ард SSTP: сесс хаана тасрах вэ

Таны хөтөч корпорацийн интранет ачаалж, прокси гэрчилгээ итгэмжлэгдсэн боловч SSTP клиент холболтын төгсгөлд ойрхон унадаг. Энэ хэв маяг нь буруу нууц үгийг бус, вэб хүсэлт болон туннель сессийн ялгааг заана. Холболтыг TCP-ээс дээш туулж, эхэнд нуршиж буй үеийг тэмдэглээрэй. Прокси шалтгаан мөн эсэхийг алдааны код бус, үе шат хэлнэ.

Клиент зогсож буй газраас эхэл

Клиент тогтмол дарааллаар дамждаг: 443 порт руу TCP холболт, TLS гар барилт, гэрчилгээний баталгаажуулалт, SSTP-ийн HTTP солилцоо, PPP хэлэлцээр ба нэвтрүүлэлт, дараа нь IP тохиргоо. Үе бүрийн алдаа өөр ул мөр үлдээдэг бөгөөд тэдгээрийг хольж хутгах нь таныг буруу тохиргооны хуудас руу хүргэдэг.

TCP алдаа гэдэг нь ямар нэг TLS байт гарч ирэхээс өмнөх хүлээлт эсвэл дахин тохируулалт юм. TLS алдаа нь анхааруулга эсвэл гар барилтын хүлээлт. Гэрчилгээний алдаа нь гинж эсвэл нэрийн тухай анхааруулга үүсгэдэг. HTTP алдаа нь амжилттай гар барилтын дараа ирдэг, ихэвчлэн төлөвийн код эсвэл шууд хаагдах хэлбэрээр. PPP алдаа нь туннель техникийн хувьд босгосны дараа ирдэг, тиймээс нэвтрүүлэлтийн асуудал мэт харагддаг.

Эхний алдааны мөрийг бус, клиентийн бүртгэлээс сүүлчийн амжилттай үеийг уншаарай. Алдааны мөр ихэвчлэн үр дагаврыг мэдээлдэг бол үеийн хил нь татгалзсан бүрэлдэхүүнийг нэрлэдэг.

SSTP сүлжээнээс юу зөөхийг шаарддаг вэ

SSTP нь TCP 443 дээр TLS дээгүүр ажиллаж, дараа нь SSTP тодорхойлолтод тодорхойлсон SSTP_DUPLEX_POST нэртэй HTTP хүсэлтийг /sra_{GUID}/ хэлбэрийн зам руу илгээдэг. Хүсэлт нь бараг хязгааргүй агуулгын уртыг зарлаж, сессийн бүх хугацаанд урсгалыг хоёр чиглэлд нээлттэй байлгадаг. PPP хүрээнүүд тэр урсгалын дотор хөдөлдөг.

Тиймээс энгийн хөтлөлт үйлчилдэг прокси ч бүтэлгүйтэж болно. Хязгаарлагдмал биетэй GET эсвэл POST-ыг буферлэх, шалгах, дамжуулах боломжтой; хэзээ ч дуусахгүй биетэй хоёр талын урсгалыг боломжгүй. Биеийг дуусахыг хүлээж буй прокси мөнхөд хүлээж, клиент эцэст нь хүлээлтэд ордог.

Аргын шүүлт ба нэвтрүүлэлт өөрсдийн бүтэлгүйтлийн горимыг нэмдэг. Хэрэв прокси хүсэлтээс итгэмжлэл шаардвал хөтөч хариулах ч VPN клиент хариулахгүй байж болно. Хэрэв аргыг устгах эсвэл дахин бичвэл гарц PPP эхлэхээс өмнө хүсэлтийг татгалздаг.

Яагаад шалгалт таних тэмдгийг өөрчилдөг вэ

TLS шалгадаг прокси клиентийн TLS холболтыг дуусгаж, гарц руу тусдаа холболт нээдэг. Тиймээс клиент гарцын бус, проксийн гэрчилгээг баталгаажуулж, гарц проксийг өөрийн түнш гэж үздэг. Байгууллага өөрийн үндсийг түгээх үед хөтөч болон VPN клиент хоёулаа тэр гинжийг хүлээн авч болох тул гар барилт амжилттай болж, асуудал дараагийн үе рүү шилждэг.

Амжилттай баталгаажуулалт нь прокси сессийг зөөж чадна гэсэн үг биш. Тэр буферлэлгүйгээр хязгааргүй хоёр чиглэлийн POST-ыг дамжуулж, хоёр холболтыг цагаар амьд байлгах ёстой. Олон шалгалтын бүтээгдэхүүн хүсэлт-хариултын урсгалд зориулагдсан бөгөөд энэ тохиолдлыг муу эсвэл огт шийддэггүй.

Тиймээс үл мэдэгдэх үндэс нэмэх эсвэл баталгаажуулалтыг унтраах нь буруу засвар юм. Энэ нь клиент ямар гэрчилгээг хүлээн авахыг өөрчилдөг; сессийг үнэхээр эвдсэн урсгалын боловсруулалтад юу ч хийдэггүй.

Тохиргоог өөрчлөхөөс өмнө олгогчийг тодорхойл

Төгсгөлийн цэгээс ямар гэрчилгээ танилцуулж, хэн гарын үсэг зурсныг асуу. Доорх командууд VPN сесс эхлүүлэхгүйгээр гинж болон олгогчийг харуулна:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Хэрэв олгогч нийтийн CA бол энэ хостын холболт таслан сэргийлэгдэхгүй бөгөөд бүтэлгүйтэл өөр газар байна. Хэрэв олгогч байгууллагын өөрийн CA бол шалгалт идэвхтэй бөгөөд гарц руу проксигоор хүрдэг. Зөвхөн нэрээр дүгнэхээс өмнө хурууны хээг сүлжээний багийн хүлээж буйтай харьцуул.

Мөн адил хост руу хөтчийн туршилт нь прокси GET хүлээн авдаг гэдгийг л батална. SSTP арга, хүсэлтийн URI, биеийн насжилтын талаар юу ч хэлдэггүй тул ажиллаж буй интранет хуудсыг туннелийн зам дэмжигдсэн гэсэн баримт болгон бүү үз.

Дэмжигдсэн замыг сонго

Сүлжээний эзэмшигчээс нэг тодорхой асуулт асуу: прокси энэ гарц руу 443 порт дээр буфергүй хоёр талын POST-ыг зөвшөөрдөг үү? Тийм бол проксид үл харгалзах эсвэл VPN хостод зориулсан баримтжуулсан тойролт. Үгүй бол шалгасан зам SSTP зөөж чадахгүй бөгөөд дэмжигдсэн засвар нь клиентийг тааруулах бус, өөр зам эсвэл протокол юм.

Сонголтууд ихэвчлэн VPN гарц руу шалгагдаагүй гарц, проксигоор зөвхөн корпорацийн урсгал илгээдэг хуваасан туннелийн загвар, эсвэл байгууллагын өөр порт дээр дэмждэг өөр протоколыг агуулдаг. Нэг бүр нь сүлжээний загварт хамаарах бөгөөд харьцуулалт замыг тусгаарлахын тулд нэг бүрийг ижил төхөөрөмж, профайлаар турших ёстой.

Үр дүнг баримтжуул: олгогч, бүтэлгүйтсэн үе, проксийн дүрэм, сонгосон зам. Дараагийн хүн мөн адил 98 хувийн гацалтыг хараад бүх алхалтыг давтахын оронд нэг баримтыг шалгаж чадна.