SSTP स्तर समजावले: आतील पॅकेट अजून काय उघड करते

बहुतेक स्पष्टीकरणांमध्ये SSTP विषयीच्या दोन गोष्टी एकत्र मिसळल्या जातात, आणि हेच मिसळणे कॅप्चर गोंधळाचे बनवते। अनुप्रयोगाचा पॅकेट संरक्षित वाहिनीत टिकून राहतो, आणि ती वाहिनी वाहून नेणारी TCP जोडणी संपूर्ण प्रवासात स्वतःचे पत्ते राखते। तारेवर वाहक आणि त्याचा भार जातो, दोहोंपैकी कशाचाही पर्याय कधीच नाही। स्टॅक बाहेरून आत जाऊन पाहा आणि ओलांडलेल्या प्रत्येक सीमेला नाव द्या।

बाहेरील वाहकापासून सुरुवात करा

तारेवर सर्वात पहिली गोष्ट म्हणजे पोर्ट 443 वरची साधी TCP जोडणी, राउटर पुढे पाठवतात अशा खऱ्या पत्त्यांसह। तीच जोडणी नेटवर्क पत्ता अनुवादातून टिकून राहते आणि प्रवेश पुरवठादार मोजू शकतो ती हीच। भाराचे संरक्षण वाहक काढून टाकत नाही, आणि ते आकारमान किंवा वेळ लपवत नाही।

या बिंदूनंतर सर्व काही मार्गस्थ होण्याऐवजी वाहून नेले जाते। आतील देवघेव अयशस्वी झाली तरी वाहक काम करत राहतो।

आवेष्टन आतल्या बाजूला अनुसरा

संरक्षित वाहिनीत SSTP नियंत्रण देवघेव बसलेली आहे, नंतर PPP सत्र, नंतर ग्राहकाला पोहोचवायचा असलेला नेटवर्क पॅकेट। प्रत्येक स्तराची स्वतःची बोलणी, स्वतःचे त्रुटी संदेश आणि स्वतःचे स्थिती यंत्र आहे। म्हणून बिघाड एका दृष्टिकोनातून TLS बिघाडसारखा आणि दुसऱ्यातून PPP बिघाडसारखा दिसू शकतो। स्तर क्रमाने वाचल्यास कोणते स्थिती यंत्र थांबले हे कळते।

एकच कॅप्चर संपूर्ण स्टॅक क्वचितच दाखवते। बाहेरील शीर्षलेख केवळ अंतिम बिंदूच्या बाहेर दिसतात, आणि आतील केवळ विआवेष्टनानंतर। ही विषमता तुम्ही कुठे उभे आहात यावरून येते, प्रोटोकॉलमधून नाही।

खालील आकृती स्तरांचे गट करते जेणेकरून त्यांच्याविषयी बोलता येईल। ती बाइट मांडणी नाही, प्रत्येक पॅकेटमागे एक नोंद देते असे सांगत नाही, आणि एखादी अंमलबजावणी किती गुप्तलेखन क्रिया करते याविषयी काहीही सांगत नाही।

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

कॅप्चर वाचण्यापूर्वी निरीक्षकाला नाव द्या

एकाच सत्राची दोन कॅप्चर वेगवेगळ्या प्रश्नांची उत्तरे देतात, आणि कोणत्या प्रश्नाचे उत्तर कोणते हे ती ज्या इंटरफेसवर घेतली ते ठरवते। प्रवेश मार्गावर तुम्हाला वाहक आणि TLS नोंदी दिसतात, आणि आतील पत्ता न पाहता आकार व अंतर मोजता येतात। अंतिम बिंदूवर, विआवेष्टनानंतर, आतील पॅकेट खाजगी पुढे पाठवण्याच्या धोरणाखालील सामान्य रहदारी आहे।

अर्थ लावण्यापूर्वी प्रत्येक कॅप्चरवर इंटरफेस आणि दिशा लिहा। भौतिक अडॅप्टरवरून घेतलेला ठसा आतील अनुप्रयोगाचे पत्ते सामान्य बाहेरील क्षेत्रे म्हणून कधीच दाखवणार नाही, आणि ही अनुपस्थिती गुप्तलेखन बिघाड म्हणून वाचणे सामान्य चूक आहे। बोगद्याच्या आतून घेतलेला ठसा कोणताही वाहक दाखवत नाही, म्हणून पुरवठादाराच्या दृष्टिकोनाविषयीच्या प्रश्नाचे उत्तर देऊ शकत नाही। तोच शिस्त अंतिम बिंदूच्या नोंदवह्यांना लागू आहे, ज्या आशयाऐवजी बोलणीचा क्रम नोंदवतात।

आकृती सिद्ध करू शकत नाही अशा तपासण्या ठेवा

स्तरांचा क्रम हे सिद्ध करत नाही की एखादी तैनाती सर्व्हर प्रमाणपत्र पडताळते, समर्थित TLS आवृत्तीवर बोलणी करते किंवा खात्याला अधिकृत करते। यातील प्रत्येक आवेष्टनापासून स्वतंत्रपणे अयशस्वी होणारा संरचना निर्णय आहे।

आकृतीवरून अंदाज न लावता कशावर बोलणी केली हे सांगणाऱ्या क्लायंटसह त्यांची पडताळणी करा। TLS हस्तांदोलनापासून सुरुवात करा, नंतर SSTP देवघेव, नंतर PPP, आणि त्रुटी सांगणाऱ्या पहिल्या टप्प्यावर थांबा। पहिला आदेश साखळी आणि ठरलेली आवृत्ती छापतो, आणि दुसरा कॅप्चरमधील हस्तांदोलने सूचीबद्ध करतो।

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"