SSTP huwa PPP fuq HTTPS, mhux paġna web fuq il-port 443

SSTP iġorr PPP ġewwa konnessjoni HTTPS, u għalhekk jidher bħala traffiku tal-web għal kull ħaġa fin-nofs. TLS u HTTP jistabbilixxu l-kanal ta’ barra, imbagħad il-messaġġi tal-kontroll SSTP jippreparaw il-mina, u PPP jipprovdi l-imġiba tas-sessjoni. Browser li jgħabbi paġna fl-istess indirizz ikun lesta biss parti mill-ewwel stadju. Li tqis dan bħala test VPN huwa l-mod kif proxy li jaħdem jinġieb ħati ta’ nuqqas ta’ qbil fil-protokoll.

Għaddi mill-erba’ stadji bl-ordni, u l-ħsara li qed tara se taqa’ f’wieħed minnhom.

Stadju 1: TCP u TLS

Il-klijent jiftaħ konnessjoni TCP lejn il-port 443 u jagħmel handshake TLS. Il-katina taċ-ċertifikati trid taqbel mal-isem tal-host li bih il-klijent ġie konfigurat. Nuqqas ta’ qbil fl-isem hawn jipproduċi ħsara qabel ma jiġi skambjat kwalunkwe messaġġ SSTP, u l-speċifikazzjoni SSTP tassumi li dan il-kanal HTTPS ta’ barra diġà jeżisti. Xejn fl-istadji ta’ wara ma jista’ jikkumpensa ħsara tal-fiduċja hawn.

Server web ordinarju jista’ jlesti dan l-istadju b’mod perfett u xorta jfalli f’dak li jmiss. Is-suċċess ta’ TLS huwa prova dwar iċ-ċertifikat, mhux dwar il-protokoll warajh.

Stadju 2: it-talba HTTPS

SSTP jagħmel it-talba tiegħu b’metodu speċifiku, SSTP_DUPLEX_POST, u jżomm l-iskambju miftuħ minflok ma jirritorna dokument. Server jew proxy konfigurat għal talbiet ordinarji ta’ paġna jista’ jaċċetta l-konnessjoni u mbagħad jirrifjuta l-metodu. Dak ir-rifjut huwa l-problema tal-kompatibbiltà li n-nies normalment jiddeskrivu bħala port 443 imblukkat.

Aqra l-kodiċi tar-risposta u l-metodu fil-log tas-server. Rifjut f’dan l-istadju hija problema differenti minn timeout TCP, u t-tnejn iwasslu għal tiswijiet differenti.

Stadju 3: messaġġi tal-kontroll

Ladarba t-talba tiġi aċċettata, SSTP jiskambja messaġġi tal-kontroll li jinnegozjaw u jippreparaw il-mina. Dawn huma messaġġi tal-protokoll ġewwa l-ġisem HTTPS, mhux talbiet HTTP, għalhekk proxy li jeżamina u jerġa’ jikteb il-ġisem jista’ jkissirhom filwaqt li t-talbiet tal-paġna jibqgħu bla mittiefsa.

Hawnhekk apparat tal-ispezzjoni fil-fond jaqla’ r-reputazzjoni tiegħu. Jekk il-paġni jgħabbu u l-VPN jfalli, iċċekkja jekk il-ġisem huwiex modifikat minflok jekk il-port huwiex miftuħ.

Stadju 4: PPP jieħu f’idejh

Imbagħad PPP jipprovdi l-imġiba tas-sessjoni: negozjar tal-ħolqa, awtentikazzjoni u l-konfigurazzjoni tas-saff tan-netwerk li jmiss. L-awtentikazzjoni PPP hija separata mill-verifika TLS li l-klijent diġà għadda. Ċertifikat tas-server li l-klijent jaċċetta ma jgħid xejn dwar jekk il-kredenzjali tal-utent humiex validi jew jekk il-kont huwiex awtorizzat.

Ċertifikat aċċettat u login miċħud mhumiex kontradittorji. Dawn huma stadji konsekuttivi b’riżultati indipendenti.

L-awtentikazzjoni għandha diversi rwoli

Il-klijent jivvalida l-identità tas-server TLS kontra l-maħżen tal-fiduċja tiegħu u l-isem konfigurat. Imbagħad PPP jawtentika l-utent jew il-magna, skont l-implimentazzjoni. Is-server jista’ jżid il-politika tiegħu dwar min jista’ jinqabad u x’jista’ jilħaq. Żomm l-isem tal-host konsistenti mal-identità taċ-ċertifikat, għax is-sostituzzjoni b’indirizz mhux maħdum tibdel konfigurazzjoni li taħdem f’ħsara tal-verifika tal-isem.

Ikteb liema stadju rrapporta l-ħsara. Ċertifikat, metodu, messaġġ tal-kontroll, awtentikazzjoni PPP, imbagħad rotot: ħames postijiet, ħames tiswijiet.

X’jista’ u x’ma jistax juri test fil-browser

It-tgħabbi ta’ paġna fl-indirizz jipprova r-riżoluzzjoni DNS, l-aċċessibilità TCP u li xi ħaġa qed tisma’ u titkellem HTTP. Ma jipprovax li l-metodu huwa aċċettat, li l-iskambju tal-kontroll jibqa’ ħaj jew li l-awtentikazzjoni PPP hija konfigurata. Uża klijent li jimplimenta SSTP minflok ma tikkonverti profil ieħor billi tbiddel il-port.

Ladarba s-sessjoni titla’, ir-rotot, id-DNS u l-indirizzar mill-ġdid fuq in-naħa tas-server xorta jiddeċiedu x’jista’ jilħaq l-utent. Il-mina hija triq, mhux awtorizzazzjoni.