SSTP-ийн давхаргууд тайлбар: дотоод пакет юуг одоо ч илчилдэг

SSTP нь PPP болон дотоод пакетыг TLS дотор боож, гэхдээ гадаад TCP холболт хэн хэнтэй ярьсныг одоо ч харуулсаар байна. Бичлэгийг уншихаас өмнө давхарга бүрийг тэмдэглэнэ үү.

Ихэнх тайлбарт SSTP -ийн тухай хоёр баримт нэгдэж, яг тэр нэгдэл бичлэгүүдийг төөрөгдүүлдэг. Програмын пакет хамгаалагдсан сувгийн дотор үлдэж, тэр сувгийг зөөдөг TCP холболт өөрийн хаягийг бүх замд хадгална. Утсаар зөөгч болон түүний ачаа явдаг бөгөөд аль нэгнийх нь орлуулагч хэзээ ч биш. Стекийг гаднаас дотогш алхаж, хөндлөн гарсан хил бүрийг тэмдэглэнэ үү.

Гадаад зөөгчөөс эхэл

Утсан дээрх хамгийн эхний зүйл бол 443 порт руу чиглэсэн энгийн TCP холболт бөгөөд маршрутизаторууд дамжуулдаг бодит хаягтай. Яг энэ холболт сүлжээний хаягийн хөрвүүлэлтийг даван туулж, хандалтын үйлчилгээ үзүүлэгчийн тоолж чадах зүйл болдог. Ачааг хамгаалах нь зөөгчийг арилгахгүй бөгөөд энэ нь эзлэхүүн эсвэл цагийг нуухгүй.

Энэ цэгээс хойшхи бүх зүйл маршрутлагдахын оронд зөөгдөнө. Дотоод солилцоо бүтэлгүй болсон ч зөөгч ажилласаар байна.

Инкапсуляцийг дотогш дага

Хамгаалагдсан сувгийн дотор SSTP-ийн удирдлагын солилцоо, дараа нь PPP сесс, дараа нь харилцагч хүргүүлэхийг хүсч буй сүлжээний пакет байрлана. Давхарга бүр өөрийн хэлэлцээр, өөрийн алдааны мэдэгдэл, өөрийн төлөвийн машинтай. Тиймээс гэмтэл нэг өнцгөөс TLS-ийн гэмтэл мэт, нөгөөгөөс PPP-ийн гэмтэл мэт харагдаж болно. Давхаргуудыг дарааллаар нь уншвал аль төлөвийн машин зогссоныг хэлнэ.

Нэг бичлэг бүх стекийг ховор харуулдаг. Гадаад толгойнууд зөвхөн төгсгөлийн цэгээс гадна харагддаг, дотоод нь зөвхөн декапсуляцийн дараа. Энэ тэгш бус байдал нь таны зогсож буй газраас ирдэг, протоколоос биш.

Доорх диаграм давхаргуудыг бүлэглэсэн бөгөөд тэдний тухай ер нь ярих боломжтой болгох зорилготой. Энэ нь байтын зохион байгуулалт биш, пакет бүрт нэг бичлэг амлахгүй, хэрэгжүүлэлт хэдэн криптографийн үйлдэл хийдэг тухай ч юу ч хэлэхгүй.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Бичлэгийг уншихаас өмнө ажиглагчийг тэмдэглэ

Нэг сессийн хоёр бичлэг өөр өөр асуултад хариулдаг бөгөөд аль асуултад нь хариулахыг тэдгээрийг авсан интерфейс шийднэ. Хандалтын зам дээр та зөөгч болон TLS-ийн бичлэгүүдийг харж, дотоод хаяг харахгүйгээр хэмжээ, завсрыг хэмжиж болно. Төгсгөлийн цэгт, декапсуляцийн дараа дотоод пакет нь хувийн дамжуулалтын бодлогын дор байдаг энгийн урсгал юм.

Тайлбарлахаас өмнө бичлэг бүр дээр интерфейс болон чиглэлийг бич. Биет адаптераас авсан мөр нь дотоод програмын хаягийг энгийн гадаад талбар болгон хэзээ ч харуулахгүй бөгөөд энэ дутагдлыг шифрлэлтийн гэмтэл гэж унших нь түгээмэл алдаа юм. Туннелийн дотроос авсан мөр зөөгчийг огт харуулахгүй тул үйлчилгээ үзүүлэгчийн харалтын тухай асуултад хариулж чадахгүй. Мөн адил сахилга төгсгөлийн цэгийн бүртгэлд хамаарах бөгөөд тэдгээр нь агуулгыг биш, хэлэлцээрийн дарааллыг тэмдэглэдэг.

Диаграм баталж чадахгүй шалгалтуудыг хадгал

Давхаргын дараалал нь байршуулалт серверийн гэрчилгээг баталгаажуулдаг, дэмжигдсэн TLS хувилбарын талаар хэлэлцдэг эсвэл бүртгэлд зөвшөөрөл өгдөг гэдгийг батлахгүй. Эдгээр нь тус бүр инкапсуляцаас хамааралгүйгээр бүтэлгүйтдэг тохиргооны шийдвэр юм.

Тэдгээрийг зургаас дүгнэхын оронд юу хэлэлцсэнээ мэдээлдэг клиентээр шалга. TLS-ийн гар барилтаас эхэлж, дараа нь SSTP-ийн солилцоо, дараа нь PPP, алдаа мэдээлсэн эхний шатанд зогс. Эхний команд гинжийг болон хэлэлцсэн хувилбарыг хэвлэх бөгөөд хоёр дахь нь бичлэгт байгаа гар барилтуудыг жагсаана.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Холбоотой нийтлэлүүд