Is-saffi ta' SSTP spiegati: x'għadu jiżvela l-pakkett ta' ġewwa

SSTP jgeżwer PPP u pakkett ta' ġewwa fi ħdan TLS, imma l-konnessjoni TCP ta' barra xorta turi min tkellem ma' min. Immarka kull saff qabel ma taqra qabda.

Fil-biċċa l-kbira tal-ispjegazzjonijiet żewġ fatti dwar SSTP jingħaqdu flimkien, u din l-għaqda hija dik li tagħmel il-qabdiet konfużi. Il-pakkett tal-applikazzjoni jibqa' ħaj ġewwa l-kanal protett, u l-konnessjoni TCP li ġġorr dak il-kanal iżżomm l-indirizzi tagħha stess il-ħin kollu. Fuq il-wajer jgħaddi ġarrier flimkien mat-tagħbija tiegħu, qatt mhu sostitut ta' waħda minnhom. Imxi mal-munzell minn barra għal ġewwa u immarka kull fruntiera li taqsam.

Ibda miċ-ġarrier ta' barra

L-ewwel ħaġa fuq il-wajer hija konnessjoni TCP ordinarja għall-port 443, b'indirizzi veri li r-routerers jgħaddu 'l quddiem. Dik il-konnessjoni hija dik li tgħaddi mit-traduzzjoni tal-indirizzi tan-netwerk u li fornitur tal-aċċess jista' jgħodd. Il-ħarsien tat-tagħbija ma jneħħix iċ-ġarrier, u ma jaħbix il-volum jew il-ħin.

Kull ma jiġi wara dan il-punt jinġarr minflok ma jiġi rruttat. Iċ-ġarrier jibqa' jaħdem anki meta l-iskambju ta' ġewwa jonqos.

Segwi l-inkapsulament 'il ġewwa

Ġewwa l-kanal protett hemm skambju ta' kontroll SSTP, imbagħad sessjoni PPP, imbagħad il-pakkett tan-netwerk li l-klijent irid jitwassal. Kull saff għandu n-negozjati tiegħu, il-messaġġi tal-iżbalji tiegħu u l-magna tal-istat tiegħu. Għalhekk ħsara tista' tidher bħala ħsara TLS minn lat u bħala ħsara PPP minn ieħor. Il-qari tas-saffi fl-ordni jgħidlek liema magna tal-istat waqfet.

Qabda waħda rari turi l-munzell kollu. L-intestaturi ta' barra jidhru biss barra mill-punt aħħari, u dawk ta' ġewwa biss wara d-dekapsulament. Dik l-asimetrija ġejja minn fejn inti wieqaf, mhux mill-protokoll.

Id-dijagramma hawn taħt tiġbor is-saffi biex wieħed jista' jitkellem dwarhom xorta waħda. Mhijiex tqassim ta' bajts, ma twiegħedx rekord wieħed għal kull pakkett, u ma tgħid xejn dwar kemm operazzjonijiet kriptografiċi twettaq implimentazzjoni.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Immarka l-osservatur qabel ma taqra qabda

Żewġ qabdiet tas-sessjoni stess iwieġbu mistoqsijiet differenti, u l-interface li nqabdu fuqha tiddeċiedi liema. Fit-triq tal-aċċess tara ċ-ġarrier u r-rekords TLS, u tista' tkejjel daqsijiet u intervalli mingħajr ma tara indirizz ta' ġewwa. Fil-punt aħħari, wara d-dekapsulament, il-pakkett ta' ġewwa huwa traffiku ordinarju taħt il-politika privata tal-ħatt.

Ikteb l-interface u d-direzzjoni fuq kull qabda qabel ma tinterpretaha. Traċċa meħuda minn adapter fiżiku qatt mhi se turi l-indirizzi tal-applikazzjoni ta' ġewwa bħala oqsma ta' barra ordinarji, u li taqra dik l-assenza bħala ħsara fl-encryption hija żball komuni. Traċċa meħuda minn ġewwa l-mina ma turi ebda ġarrier xejn, għalhekk ma tistax twieġeb mistoqsija dwar il-veduta tal-fornitur. L-istess dixxiplina tapplika għar-registri tal-punt aħħari, li jinnutaw l-ordni tan-negozjati u mhux il-kontenut.

Żomm il-verifiki li d-dijagramma ma tistax tipprova

L-ordni tas-saffi ma tistabbilixxix li implimentazzjoni tivvalida ċ-ċertifikat tas-server, tinnegozja verżjoni TLS appoġġata jew tawtorizza l-kont. Kull waħda minn dawn hija deċiżjoni ta' konfigurazzjoni li tfalli indipendentement mill-inkapsulament.

Ivverifikahom bi klijent li jirrapporta x'negozja minflok ma jirraġuna minn tpinġija. Ibda bit-tħaffir ta' idejn TLS, imbagħad l-iskambju SSTP, imbagħad PPP, u waqaf fl-ewwel stadju li jirrapporta żball. L-ewwel kmand jistampa l-katina u l-verżjoni nnegozjata, u t-tieni jelenka t-tħaffiriet ta' idejn preżenti fi qabda.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"

Artikli relatati