SSTP ħa l-port 443: għaliex Apache ma jibdiex

Apache jieqaf iwieġeb fuq 443 dakinhar wara nofsinhar meta xi ħadd iħaddem il-konnessjonijiet VPN deħlin, u l-log tal-iżbalji tiegħu jakkuża l-bind minflok ir-riżerva li hemm warajh. Windows Routing and Remote Access iħaddem SSTP f’dak il-mument, u l-listener SSTP jitlob it-TCP 443 permezz tal-munzell HTTP qabel ma jiġi awtentikat xi klijent. It-talba tibqa’ fis-seħħ anki meta ċ-ċertifikat ikun nieqes, l-isem ikun żbaljat jew kull handshake tiġi miċħuda, għalhekk VPN li ħadd ma jista’ jidħol fih xorta jokkupa l-port. Aqra l-ewwel it-tabella tas-smigħ; il-PID li jokkupa 443 jiddeċiedi liema mill-fsadat hawn taħt hija saħansitra miftuħa għalik.

Ir-riżerva tgħix aktar minn ċertifikat miksur

SSTP idawwar il-PPP ġewwa sessjoni TLS, għalhekk għandu bżonn 443 u għalhekk jgħaddi minn proksijiet li jwarrbu tunelli oħra. Il-listener mhuwiex socket li s-servizz VPN jiftaħ għalih innifsu: SstpSvc jirreġistrah mad-driver HTTP tal-qalba, għalhekk il-port jibqa’ riżervat sakemm is-servizz ikun qed jaħdem. Dik ir-reġistrazzjoni qatt ma tikkonsulta ċ-ċertifikat, li jfisser li isem skadut, subject li ma jaqbilx jew l-ebda ċertifikat iħallu 443 okkupat. Imbagħad il-fallimenti jinxteħtu f’żewġ direzzjonijiet: handshakes miċħuda jispiċċaw fil-log System taħt RasSstp, filwaqt li s-server tal-web jista’ biss jirrapporta li ma setax jagħmel bind.

netstat -aon | findstr :443
tasklist /svc /fi "PID eq <pid>"

L-ewwel linja tirritorna l-PID li jokkupa l-port; it-tieni ssemmi s-servizz warajh, u t-tweġiba normalment hija s-servizz HTTP jew il-munzell RRAS. Meta tasklist jwieġeb b’proċess ospitanti maqsum, aqra l-kolonna tas-servizz minflok taqta’ milli mill-isem tal-proċess.

It-twissijiet RasSstp jiswew l-qari biss wara dan, għax jiddeskrivu handshake li falliet u ma jgħidu xejn dwar ir-riżerva li kkawżat il-kolliżjoni. Punt tat-tarf VPN li jirrifjuta kull klijent xorta jokkupa l-port. Ittratta l-log bħala t-tieni domanda, mhux l-ewwel waħda.

IIS jaqsam id-driver, Apache jiftaħ socket

IIS jagħti l-bindings tiegħu lill-istess driver tal-qalba li juża SSTP, u dak id-driver jifred il-konnessjonijiet deħlin skont l-isem tal-host u l-prefiss URL, għalhekk iż-żewġ servizzi jistgħu jintalbu jixtiequ 443 mingħajr ma jfalli ebda wieħed minnhom. Apache u nginx jagħmlu l-kuntrarju: isejħu bind fuq is-socket tagħhom, u s-sistema operattiva tirrifjuta għax l-indirizz diġà huwa okkupat. M’hemm xejn żball f’ebda waħda mill-konfigurazzjonijiet; id-differenza tinsab f’ liema API jokkupa l-port. Għalhekk ukoll l-attivazzjoni tal-VPN twaqqa’ sit fuq host u tħalli sit identiku fuq host ieħor ma jintmessx.

Din l-asimmetrija tiddeċiedi l-għamla tat-tiswija. Jekk IIS huwa diġà l-bieb ta’ quddiem, il-kolliżjoni ssir kwistjoni ta’ prefissi, bindings u ċertifikati. Jekk Apache huwa l-bieb ta’ quddiem, jew iwarrab minn 443 jew jagħmel hekk il-listener SSTP, u t-taqsima li jmiss tittratta ż-żewġ movimenti.

Agħżel liema servizz iżomm 443

Il-port tal-listener jgħix f’valur wieħed tar-reġistru, DWORD deċimali taħt iċ-ċavetta tal-parametri ta’ Sstpsvc. Ibdel il-valur, erġa’ ibda Routing and Remote Access, u kkonferma mit-tabella tas-smigħ li l-port antik huwa ħieles.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort /t REG_DWORD /d 4443 /f
Restart-Service RemoteAccess

Agħżel port li xejn ieħor fuq il-host ma jixtieq, u ittajpjah f’deċimali: reg add jaħżen id-DWORD eżattament kif miktub, għalhekk valur maħsub bħala esadeċimali jinżel bħala port differenti. Jekk il-mistoqsija tgħid li l-valur ma jeżistix, it-tieni linja toħolqu. Restart-Service RemoteAccess inaqqas lil kull min huwa konness, li jiswa l-pjanar. Wara dan erġa’ ġġib il-verifika tas-smigħ, għax dħul antik fuq 443 ifisser li s-servizz żamm ir-reġistrazzjoni antika tiegħu.

L-imċaqlaq tal-listener għandu prezz li l-editjar tar-reġistru ma jurix. Il-klijenti SSTP ordinarji jċemplu 443, għalhekk kull profil tal-klijent għandu bżonn il-port il-ġdid, u l-fluss jieqaf jixbah talba tal-web għal kull ħaġa li tiskrutinja l-mogħdija. Fuq netwerk li jittollera biss traffiku li jidher bħal HTTPS, dan ineħħi l-biċċa l-kbira tar-raġuni għaliex intgħażel SSTP. Popolazzjoni żgħira u mmaniġġjata ta’ klijenti tassorbih; bażi ta’ utenti pubblika jew BYOD le.

Il-moviment l-ieħor iżomm 443 ma’ IIS u jqis Apache bħala backend li l-proksy jgħaddi lejh. Dan iħares il-valur prestabbilit ta’ SSTP u jħalli sid wieħed għall-port, bi spiża ta’ intestaturi mgħoddija, indirizz tal-klijent li l-applikazzjoni ma tibqax tara direttament, u backend li jrid jitkellem il-protokoll li l-proksy fil-fatt jibgħat.

Ipprova s-sid, iċ-ċertifikat u l-handshake fl-ordni

Konnessjoni TCP kompluta tipprova li hemm listener u xejn aktar, għalhekk skan tal-ports jista’ jidher f’saħħtu waqt li t-tunnel xorta qed ifalli. L-erba’ stadji jfallu b’modi differenti, u tiswija mmirata lejn l-istadju li int ma ksartx normalment tħaffar il-kolliżjoni. Aħdem magħhom fl-ordni u waqaf fejn it-tweġiba tinqasam.

netstat -aon | findstr :443
certutil -store My
Get-WinEvent -LogName System -ProviderName RasSstp -MaxEvents 20

L-ewwel linja ssemmi l-PID li jżomm 443, u għandu jkun is-servizz li għadek kemm ikkonfigurajt. It-tieni telenka ċ-ċertifikati tal-magna mas-subjects tagħhom, għalhekk isem li ma jaqbilx mal-indirizz fil-profil tal-klijent joħroġ mill-ewwel. Il-mistoqsija tal-avvenimenti tirritorna rekords SSTP riċenti, u handshake li qatt ma jasal għall-awtentikazzjoni PPP iħalli rekord differenti minn dak li jiġi awtentikat u mbagħad miċħud. L-aħħar stadju jidher biss fuq il-klijent, fejn id-dħul jew jirrapporta konness jew isemmi l-iżball PPP.

Meta host wieħed irid jagħmel iż-żewġ xogħlijiet, agħżel is-sid ta’ 443 b’mod deliberat u ikteb l-għażla, għax inkella l-persuna li jmiss li tħaddem xi karatteristika terġa’ tiskopri din il-kolliżjoni. Is-separazzjoni tar-rwoli tibqa’ l-aktar tweġiba nadifa: server tal-web pubbliku u punt tat-tarf tal-aċċess mill-bogħod iġorru ċikli separati ta’ garza, ċertifikati u tqabbid mill-ġdid, u dawk iċ-ċikli jiltaqgħu skont l-iskeda tagħhom stess. Fi kwalunkwe każ, ħalli l-verifika tas-smigħ, il-mogħdija tar-reġistru u l-port magħżul fin-nota tal-konsenja.