SSTP wara proksi li jispezzjona TLS: fejn tinqata’ s-sessjoni

Il-browser tiegħek jgħabbi l-intranet korporattiva, iċ-ċertifikat tal-proksi huwa fiduċjarju, u minkejja dan il-klijent SSTP xorta jaqa’ qrib it-tmiem tal-konnessjoni. Dan il-mudell juri d-differenza bejn talba web u sessjoni f’tunnel, mhux password ħażina. Agħmel il-konnessjoni minn TCP ’il fuq u noti l-ewwel pass li jfalli. Il-pass, mhux il-kodiċi tal-iżball, jgħidlek jekk il-proksi huwiex il-kawża.

Ibda fejn jieqaf il-klijent

Il-klijent jgħaddi minn sekwenza fissa: konnessjoni TCP mal-port 443, handshake TLS, validazzjoni taċ-ċertifikat, l-iskambju HTTP ta’ SSTP, negozjar u awtentikazzjoni PPP, imbagħad konfigurazzjoni IP. Falliment f’kull pass iħalli marka differenti, u t-taħlit tagħhom iwasslek għall-paġna tal-konfigurazzjoni ħażina.

Falliment TCP huwa timeout jew reset qabel ma jidher xi byte TLS. Falliment TLS huwa twissija jew timeout tal-handshake. Falliment taċ-ċertifikat jipproduċi twissija dwar il-katina jew l-isem. Falliment HTTP jiġi wara handshake b’suċċess, spiss bħala kodiċi tal-istat jew għeluq immedjat. Falliment PPP jiġi wara li t-tunnel ikun stabbilit teknikament, u għalhekk jidher bħala problema ta’ awtentikazzjoni.

Aqra l-log tal-klijent għall-aħħar pass b’suċċess, mhux għall-ewwel linja tal-iżball. Il-linja tal-iżball normalment tirrapporta l-konsegwenza, filwaqt li l-konfini tal-pass isemmi l-komponent li rrifjuta.

X’jitlob SSTP min-netwerk iġorr

SSTP jaħdem fuq TLS fuq TCP 443 u mbagħad jibgħat talba HTTP msejħa SSTP_DUPLEX_POST, definita fl-ispeċifikazzjoni SSTP, lejn mogħdija tal-forma /sra_{GUID}/. It-talba tiddikjara tul tal-kontenut prattikament illimitat u żżomm il-fluss miftuħ fiż-żewġ direzzjonijiet għall-ħajja kollha tas-sessjoni. Il-frames PPP jivvjaġġaw ġewwa dak il-fluss.

Għalhekk proksi li jittratta browsing ordinarju xorta jista’ jfalli. GET jew POST b’korp finit jista’ jiġi bufferjat, spezzjonat u mgħoddi; fluss duplex b’korp li qatt ma jispiċċa ma jistax. Proksi li jistenna li l-korp jitlesta jistenna għal dejjem, u l-klijent eventwalment jiskadi.

Il-filtrazzjoni tal-metodi u l-awtentikazzjoni jżidu l-modi tagħhom ta’ falliment. Jekk il-proksi jitlob kredenzjali għat-talba, il-klijent VPN jista’ ma jwieġebx għalkemm il-browser kien iwieġeb. Jekk ineħħi jew jikteb mill-ġdid il-metodu, il-gateway jirrifjuta t-talba qabel ma jibda PPP.

Għaliex l-ispezzjoni tibdel l-identità

Proksi li jispezzjona TLS itemm il-konnessjoni TLS tal-klijent u jiftaħ waħda separata lejn il-gateway. Għalhekk il-klijent jivvalida ċ-ċertifikat tal-proksi, mhux dak tal-gateway, u l-gateway jara l-proksi bħala l-pari tiegħu. Meta l-organizzazzjoni tqassam l-għerq tagħha stess, kemm il-browser kif ukoll il-klijent VPN jistgħu jaċċettaw dik il-katina, u għalhekk il-handshake jirnexxi u l-problema tmur għall-pass li jmiss.

Validazzjoni b’suċċess ma tfissirx li l-proksi jista’ jġorr is-sessjoni. Xorta jrid iwassal POST bidirezzjonali illimitat mingħajr buffering, u jżomm iż-żewġ konnessjonijiet ħajjin għal sigħat. Ħafna prodotti tal-ispezzjoni huma mibnija għal traffiku ta’ talba-risposta u jittrattaw dan il-każ ħażin jew xejn.

Għalhekk iż-żieda ta’ għerq mhux magħruf jew it-tifi tal-validazzjoni hija l-fejqan ħażin. Tibdel liema ċertifikat jaċċetta l-klijent; ma tagħmel xejn dwar il-ġestjoni tal-fluss li fil-fatt kissret is-sessjoni.

Identifika l-emittent qabel ma tibdel is-settings

Staqsi lill-punt tat-tmiem liema ċertifikat jippreżenta u min iffirmah. Il-kmandi hawn taħt juru l-katina u l-emittent mingħajr ma jibdew sessjoni VPN:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Jekk l-emittent huwa CA pubbliku, il-konnessjoni x’aktarx mhijiex interċettata għal dan il-host u l-falliment jinsab band’oħra. Jekk l-emittent huwa l-CA tal-organizzazzjoni stess, l-ispezzjoni hija attiva u l-gateway jintlaħaq permezz ta’ proksi. Qabbel il-marka tas-swaba’ ma’ dik li tistenna t-tim tan-netwerk qabel ma tasal għal konklużjoni mill-isem biss.

Test tal-browser lejn l-istess host jipprova biss li l-proksi jaċċetta GET. Ma jgħid xejn dwar il-metodu SSTP, l-URI tat-talba jew il-ħajja tal-korp, għalhekk tqisx paġna tal-intranet li taħdem bħala prova li l-mogħdija tat-tunnel hija appoġġjata.

Agħżel il-mogħdija appoġġjata

Staqsi lis-sid tan-netwerk mistoqsija waħda konkreta: il-proksi jippermetti POST duplex mingħajr buffering lejn dan il-gateway fuq il-port 443? Iva jwassal għal eċċezzjoni fil-proksi jew għal qbiż dokumentat għall-host VPN. Le jfisser li l-mogħdija spezzjonata ma tistax iġġorr SSTP, u l-fejqan appoġġjat huwa mogħdija jew protokoll ieħor, mhux aġġustament tal-klijent.

L-għażliet normalment jinkludu ħruġ mhux spezzjonat għall-gateway VPN, disinn ta’ tunnel maqsum li jibgħat biss traffiku korporattiv mill-proksi, jew protokoll alternattiv li l-organizzazzjoni tappoġġja fuq port ieħor. Kull waħda tappartjeni għad-disinn tan-netwerk, u kull waħda għandha tiġi ttestjata bl-istess apparat u profil sabiex il-paragun jiżola l-mogħdija.

Iddokumenta r-riżultat: emittent, pass li falla, regola tal-proksi u mogħdija magħżula. Il-persuna li jmiss li tara l-istess waqfa ta’ 98 fil-mija tkun tista’ tiċċekkja fatt wieħed minflok ma tirrepeti l-mixja kollha.