L-SSTP ifalli fejn l-HTTPS tal-browser jirnexxi: għaliex
L-SSTP jaħdem ġewwa TLS fuq il-port 443, iżda mhuwiex talba tal-web. Ittestja TCP, l-identità TLS, l-iskambju SSTP u l-awtentikazzjoni PPP bħala stadji separati.
Il-browser jiftaħ l-isem tal-host tal-VPN permezz ta' HTTPS mingħajr ilment, u l-klijent SSTP xorta jirrifjuta li jgħaqqad. M'hemm xejn kontradittorju f'dan il-par. L-SSTP juża TLS bħala trasport ta' barra u mbagħad iwettaq it-talba tiegħu u t-tagħbija PPP ġewwa dik il-konnessjoni, għalhekk tagħbija ta' paġna li tirnexxi tipprova biss ħaġa waħda dejqa: il-host iwieġeb GET fuq il-port 443. Il-klijent qed jistaqsi mistoqsija oħra, u s-server jista' jwieġeb ħażin.
Il-paġna tgħabbi u l-mina le
In-nies jersqu lejn it-test tal-browser għax huwa malajr, u mbagħad jieħdu r-riżultat bħala prova li s-server jintlaħaq u huwa konfigurat. Hija prova dwar GET għall-passaġġ li fetaħ il-bar tal-indirizz, xejn aktar. Id-diskussjoni tal-VPN tibda wara l-istess handshake TLS, iżda tibgħat metodu u passaġġ li paġna web qatt ma tuża. Għalhekk risposta 200 għall-browser ma tgħid xejn dwar jekk teżistix il-punt tat-tmiem SSTP.
Issepara ż-żewġ osservazzjonijiet u t-tfittxija tqassar. It-trasport u l-katina taċ-ċertifikati jaħdmu, u xi ħaġa fl-iskambju tal-protokoll fuqhom ma taħdimx. Din hija investigazzjoni differenti minn port miksur jew ċertifikat skadut, u teħtieġ provi differenti.
X'jibgħat tassew il-klijent SSTP
Il-klijent jibgħat talba HTTP bil-metodu SSTP_DUPLEX_POST lill-passaġġ /sra_{GUID}/, imbagħad iżomm il-ġisem tal-konnessjoni miftuħ bħala fluss f'żewġ direzzjonijiet li jġorr frejms PPP. Server konformi jwieġeb HTTP/1.1 200 u jieqaf iġib ruħu bħal web server. Kull ħaġa oħra hija firma: 405 jew 404 tfisser li l-punt tat-tmiem m'hemmx, 301 jew 302 tfisser li xi ħaġa qed iddur it-talba, u FIN immedjat tfisser li proxy jew server għalaq il-fluss.
Għalhekk il-mira trid tkun server SSTP u mhux web server b'ċertifikat TLS imwaħħal miegħu. Il-metodu, il-passaġġ u l-ġisem fit-tul huma rekwiżiti tal-protokoll, għalhekk proxy invers ma jistax iżidhom bil-konfigurazzjoni biss. Proxy li jgħaddi HTTPS ordinarju b'mod perfett xorta jista' jirrifjuta metodu li ma jafx bih.
Fejn proxy jew web server ikisser il-fluss
Intermedjarju jispezzjona l-linja tat-talba HTTP qabel ma jgħaddi xi ħaġa, u metodu personalizzat b'passaġġ mhux tas-soltu jista' jfalli fir-regoli tiegħu. Xi apparati jservu paġna normali waqt li jirrifjutaw jew jinterrompu l-mina, għalhekk il-klijent jirrapporta konnessjoni li tibda u mbagħad tmut minflok rifjut nadif. Oħrajn jaċċettaw it-talba, imbagħad japplikaw timeout tal-ġisem jew ta' inattività li l-keepalives PPP ma jifilħux għalih. It-tnejn jidhru l-istess mill-ġenb tal-klijent, għalhekk l-istadju li falla huwa aktar importanti mit-test tal-iżball.
Li taqsam il-port 443 bejn sit web u SSTP hija għażla ta' routing, mhux wegħda li kull hop jimmaniġġja ż-żewġ diskussjonijiet bl-istess mod. Jekk hemm load balancer, firewall jew terminatur TLS fil-passaġġ, żidu mal-lista ta' suspettati qabel ma tmiss il-konfigurazzjoni tal-VPN.
Ittestja l-istadji separatament
Mexxi l-kontrolli fl-ordni u waqaf fl-ewwel falliment, għax kull stadju jeskludi saff differenti. Il-probe TLS hawn taħt tissepara l-identità taċ-ċertifikat minn kull ma jagħmel l-SSTP. Issostitwixxi l-isem tal-host bil-punt tat-tmiem tiegħek u aqra s-subject u l-katina li tipprintja.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comImbagħad iċċekken il-provi li jifdal mal-istadji minflok ma taqta' mill-iżball tal-klijent. It-tabella hawn taħt hija l-lista ta' verifika biex tiġi kkwotata fit-ticket, bil-firma li tissepara falliment wieħed mill-ieħor.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
Irreġistra fit-ticket l-aħħar stadju li rnexxa minflok tikteb "ma jistax jgħaqqad". L-ispeċifikazzjoni MS-SSTP tiddokumenta t-talba u l-iskambju PPP li jiġu wara l-handshake TLS, u hija r-referenza għaliex test fil-browser ma jistax jieħu post wieħed minnhom.
L-identità l-ewwel, imbagħad PPP
L-identità TLS u l-awtentikazzjoni PPP huma sekwenzjali, mhux alternattivi, u li tħallathom iwassal lin-nies għall-aġġustament ħażin tas-server. Il-klijent jivvalida l-ewwel iċ-ċertifikat tas-server u l-iskop maħsub tiegħu, imbagħad PPP jinnegozja l-istat tiegħu stess u jawtentika lill-utent b'metodu ta' sfida-risposta jew EAP. Problema taċ-ċertifikat tagħti żball differenti minn password miċħuda, u l-ebda żball ma jiddeskrivi l-istadju li jkopri l-ieħor.
Li tissostitwixxi l-isem tal-host b'indirizz, jew li tikklikkja lil hinn mit-twissija taċ-ċertifikat, tneħħi l-kontroll li kien jidentifika l-istadju li qed ifalli minflok ma tissewwih. Żomm it-twissija u aqraha. Tergħax tirrisettja password PPP meta l-iskambju HTTP qatt ma wasal għall-imġiba SSTP, għax il-kredenzjali qatt ma ntalbu.