Lapisan SSTP dijelaskan: apa yang masih didedahkan paket dalam

Dua fakta tentang SSTP bergabung dalam kebanyakan penjelasan, dan penggabungan itulah yang menjadikan tangkapan mengelirukan. Paket aplikasi kekal di dalam saluran terlindung, dan sambungan TCP yang membawa saluran itu mengekalkan alamatnya sendiri sepanjang masa. Yang bergerak di wayar ialah pembawa berserta muatannya, tidak pernah menjadi pengganti salah satu daripadanya. Telusuri tindanan dari luar ke dalam dan label setiap sempadan semasa anda melintasinya.

Mulakan dengan pembawa luar

Perkara pertama di wayar ialah sambungan TCP biasa ke port 443, dengan alamat sebenar yang dihantar oleh penghala. Sambungan itulah yang bertahan daripada terjemahan alamat rangkaian dan yang boleh dikira oleh penyedia akses. Melindungi muatan tidak menghapuskan pembawa, dan ia tidak menyembunyikan isipadu atau masa.

Semua selepas titik ini dibawa dan bukan dihalakan. Pembawa terus berfungsi walaupun pertukaran dalaman gagal.

Ikuti enkapsulasi ke dalam

Di dalam saluran terlindung terdapat pertukaran kawalan SSTP, kemudian sesi PPP, kemudian paket rangkaian yang mahu dihantar oleh klien. Setiap lapisan mempunyai rundingannya sendiri, mesej ralatnya sendiri dan mesin keadaannya sendiri. Oleh itu kerosakan boleh kelihatan seperti kerosakan TLS dari satu sudut pandangan dan kerosakan PPP dari sudut lain. Membaca lapisan mengikut urutan memberitahu mesin keadaan mana yang berhenti.

Satu tangkapan jarang menunjukkan seluruh tindanan. Pengepala luar hanya kelihatan di luar titik akhir, dan pengepala dalam hanya selepas penyahkapsulan. Asimetri itu datang dari tempat anda berdiri, bukan dari protokol.

Gambar rajah di bawah mengelompokkan lapisan supaya ia boleh dibincangkan langsung. Ia bukan susun atur bait, ia tidak menjanjikan satu rekod bagi setiap paket, dan ia tidak menyatakan apa-apa tentang berapa banyak operasi kriptografi yang dilakukan oleh sesuatu pelaksanaan.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Label pemerhati sebelum membaca tangkapan

Dua tangkapan bagi sesi yang sama menjawab soalan berbeza, dan antara muka tempat ia diambil menentukan yang mana. Di laluan akses anda melihat pembawa dan rekod TLS, dan anda boleh mengukur saiz dan selang tanpa melihat alamat dalam. Di titik akhir, selepas penyahkapsulan, paket dalam ialah trafik biasa di bawah dasar penghantaran persendirian.

Tulis antara muka dan arah pada setiap tangkapan sebelum mentafsirkannya. Surih daripada penyesuai fizikal tidak akan pernah menunjukkan alamat aplikasi dalam sebagai medan luar biasa, dan membaca ketiadaan itu sebagai kegagalan penyulitan ialah kesilapan lazim. Surih dari dalam terowong tidak menunjukkan sebarang pembawa, jadi ia tidak boleh menjawab soalan tentang pandangan penyedia. Disiplin yang sama terpakai pada log titik akhir, yang merekodkan urutan rundingan dan bukan kandungannya.

Kekalkan pemeriksaan yang tidak dapat dibuktikan oleh gambar rajah

Urutan lapisan tidak membuktikan bahawa sesuatu penggunaan mengesahkan sijil pelayan, merundingkan versi TLS yang disokong atau membenarkan akaun. Setiap satunya ialah keputusan konfigurasi yang gagal secara berasingan daripada enkapsulasi.

Sahkan semuanya dengan klien yang melaporkan apa yang dirundingkannya dan bukan membuat kesimpulan daripada lukisan. Mulakan dengan jabat tangan TLS, kemudian pertukaran SSTP, kemudian PPP, dan berhenti pada peringkat pertama yang melaporkan ralat. Perintah pertama mencetak rantaian dan versi yang dirundingkan, dan yang kedua menyenaraikan jabat tangan yang ada dalam tangkapan.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"