Il-port 443 iwieġeb, SSTP xorta jfalli: liema stadju nqasam?

It-tlestija ta’ handshake TCP lejn il-port 443 waqt li t-tunnel qatt ma jinbena tipprova ħaġa waħda, u hija ħaġa żgħira. Xi ħaġa qed tisma’ u lesta taċċetta konnessjoni f’dak l-indirizz. Ma tidentifikax is-servizz, iċ-ċertifikat li se jippreżenta, jew x’jiġri wara l-ewwel bytes.

Erba’ stadji jinsabu bejn dak il-handshake u tunnel li jaħdem, u kull wieħed jipproduċi żball differenti.

Port miftuħ jiddeskrivi saff wieħed biss

Li taċċetta konnessjoni TCP tfisser li proċess jippossjedi s-socket u li t-triq tippermetti l-handshake. Ma tgħid xejn dwar jekk dak il-proċess huwiex server SSTP, jekk għandux ċertifikat validu għall-isem fil-profil tiegħek, jew jekk jawtorizzax il-kont tiegħek. Server tal-web fl-istess indirizz iwieġeb il-handshake perfettament u mbagħad iwieġeb it-talba SSTP tiegħek bi żball HTTP. Kollox ’il fuq minn dak il-handshake jibqa’ mhux ittestjat.

Ittratta t-test tal-port bħala l-ifjen filtru possibbli u mhux bħala verdett. Il-valur tiegħu hu li jneħħi kategorija sħiħa ta’ fallimenti, mhux li jikkonferma kollox ’il fuq minnu.

Li tħawwad it-tnejn huwa r-raġuni għaliex in-nies jerġgħu jinstallaw il-klijenti wara test li qatt ma eżamina l-problema vera tal-klijent.

Issepara l-erba’ stadji b’evidenza

L-istadji huma l-aċċessibilità tat-trasport, il-validazzjoni TLS, l-iskambju SSTP fuq HTTPS, u l-awtentikazzjoni PPP ġewwa t-tunnel. Triq li tgħaddi mill-ewwel u tfalli fir-raba’ teħtieġ tiswija tal-kredenzjali; oħra li tfalli fit-tieni teħtieġ tiswija taċ-ċertifikat jew tal-isem. Dawn it-tiswijiet m’għandhom xejn komuni, u li tagħżel ħażin taħli l-waqfa.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

It-tielet kmand jistħoqqlu qari attent. 200 minn paġna tal-web ordinarja jgħidlek li hemm servizz tal-web; ma jgħidlekx li t-talba SSTP se tinftiehem. 404 mill-istess indirizz huwa bl-istess mod bla informazzjoni dwar il-VPN. Biss il-log tal-klijent jgħidlek liema mill-erba’ stadji wasal.

Innota liema isem uża kull kmand. Iċ-ċertifikat jintgħażel bl-isem li tibgħat, għalhekk nuqqas ta’ qbil bejn il-profil u t-test huwa nuqqas ta’ qbil li dħalt int. Li tikteb dak l-isem ħdejn ir-riżultat jipprevjeni l-konfużjoni aktar tard.

Aqra s-suċċess parzjali fid-direzzjoni t-tajba

Intermedjarju jista’ jippermetti browsing ordinarju u jirrifjuta l-iskambju aktar tard, u għalhekk proxy li jaħdem għal siti tal-web xorta jista’ jfalli għal tunnel. L-istess mudell jidher meta ċertifikat ikun validu għal isem tal-browser imma mhux għall-isem konfigurat fil-profil: il-browser ikun sodisfatt u l-klijent le, u t-tnejn għandhom raġun dwar dak li vverifikaw.

Żomm il-validazzjoni tas-server mixgħula waqt li tkun qed tiddijanjostika dan. Li titfiha jbiddel nuqqas ta’ qbil taċ-ċertifikat fi handshake li jirnexxi u jaħbi l-unika evidenza li kienet tispjega l-falliment.

Jekk l-istess profil jaħdem minn network ieħor, id-differenza tiddependi mit-triq. Dan iċekken it-tiftix għall-intermedjarji mingħajr ma jgħid liema, u għadu pass utli ’l quddiem. Irreġistra n-network li użajt, għax il-paragun ma jiswiex xejn mingħajru.

Imbagħad ipprova l-applikazzjoni, mhux biss is-sessjoni

Ladarba teżisti sessjoni, ivverifika r-rotta maħsuba, ir-riżoluzzjoni tal-ismijiet u l-permess tas-servizz mill-klijent li jeħtiġilhom. Tunnel konness xorta jista’ jkollu forwarding nieqes fuq in-naħa l-bogħida jew rotta tar-ritorn li qatt ma kienet teżisti, u dawk il-fallimenti jidhru eżattament bħala problema tal-applikazzjoni għall-persuna li qed tistenna.

Żomm kull konklużjoni marbuta mal-istadju li pproduċiha. Li ssejjaħ port miftuħ VPN li jaħdem huwa kif verifika taċ-ċertifikat ta’ ħames minuti ssir ġurnata ta’ installazzjoni mill-ġdid tas-software.