د SSTP د وخت ختمېدل یا د سند تېروتنه: څنګه یې جلا کړو

SSTP اړیکه په دوو لارو ناکامېږي چې د کاروونکي له چوکۍ څخه یو شان ښکاري، او د هر یوه ترمیم په بېل پوړ کې دی۔ د وخت ختمېدل یعنې اړین تبادله هیچېره پای ته نه رسېده؛ د سند تېروتنه یعنې د هویت توکي ورسېدل او رد شول۔ که دوهم لکه لومړی وګڼئ، هغو فایر والونو او پټنومونو ته ورځئ چې هیچېره ستونزه نه وو۔ توپیروونکی ثبوت په خپله د کاروونکي لاګ کې دی، که له هر بدلون مخکې یې ولولئ۔

دوه ناکامۍ، دوه بېلې تبادلې

SSTP په HTTPS بڼې ناستې کې تونل لېږدوي، نو ځکه هغو شبکو کې هم پاتې کېږي چې له 443 پرته بل څه نه پرېږدي۔ کاروونکی د TLS لاس نیول بشپړوي، د پروتوکول ځانګړې لارې HTTP غوښتنه لېږي، او بیا تونل په همغه بهیر کې ګرځي۔ په همغو ګامونو کې ناکامي اړیکه بندوي، او یوازې وروستي ګامونه د ننوتلو معلوماتو سره تړاو لري۔

همدا ترتیب تشخیص دی۔ که TLS لاس نیول هیچېره بشپړ نه شي، هېڅ د ننوتلو معلومات نه دي لېږل شوي، نو پټنوم بیا تنظیمول مرسته نه شي کولی۔ که لاس نیول بشپړ شي او بیا ودرېږي، هویت ومنل شو او په غوښتنې لار کې یو څه رد کړ۔ که لاس نیول د تایید پیغام سره ناکام شي، سرور ځواب ورکړ او کاروونکي هغه څه خوښ نه شول چې واورېدل۔ درې پایلې، درې پوړونه۔

د لاګ کرښه معمولاً وایي چې ته په درېیو کې کوم یو کې یې، نو ځکه یې له لومړي بدلون مخکې ثبتول ارزښت لري۔

د وخت ختمېدل یعنې یو پړاو هیچېره پای ته نه رسېده

د نومونو حل او د TCP رسېدونکيتیا څخه پیل وکړئ، ځکه هلته د وخت ختمېدل وروستي وخت ختمېدلو ته ورته ښکاري۔ د پورټ کتونکی چې 443 پرانیستی ښیي یوازې دا ثبوي چې یو اورېدونکي اړیکه ومنله، او له هغې زیات نه۔

بل شکمن کس کوربه نه، لار ده۔ پروکسيان او د اپلیکیشن پوه فایر والونه کله کله هغه غوښتنې لار ردوي چې SSTP کاروي، یا هغه بهیر غورځوي چې ساعتونه لپاره پرانیستی پاتې کېږي، او دواړه چلندونه د کاروونکي له اړخه د وخت ختمېدلو په څېر ښکاري۔ د همغه کوربه ورکړل شوې عادي HTTPS پاڼه بشپړېږي پداسې حال کې چې تونل لار ردېږي، نو ځکه پای ټکي ته براوز کول دومره لږ ثبوت لري۔ د هغو دوو حالتونو جلا کولو لپاره له پروکسي پرته شبکې څخه ازموینه وکړئ۔

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

له هر ځواب مخکې د وخت ختمېدل د حساب په اړه هېڅ نه وایي، او په هغه وخت کې پټنوم بدلول یوازې یو متغیر زیاتوي۔

د سند تېروتنه یعنې هویت رد شو

دلته سرور واقعاً ځواب ورکړ، نو شبکه کار کوي او پوښتنه هویت ته ځي۔ هغه نوم چې کاروونکی ډایل کوي د هغو نومونو سره پرتله کړئ چې سند یې واقعاً ادعا کوي، بیا د اعتبار نیټې او د صادروونکې زنځیر وګورئ۔

هغه شخصي CA چې کاروونکی پرې باور نه لري د تېر سند په څېر هماغه تېروتنې ټولګه جوړوي، او ساعتونه غلط ګرځېدونکی ساعت هم همدا۔ خام پته ډایل کول نوې ناسمې اړیکې جوړوي، ځکه سند نومونه ادعا کوي نه پتې۔ په مدیریت شوې ځای پر ځای کې د تېروتنې پاڼې وړاندې کړل شوی بدیل ریښه د منلو پر ځای د هغې له مدیر څخه ټاکل شوې باور ترتیبات واخلئ۔ کله چې لامل سمولئ تایید پرانیستی پاتې کېږي۔

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

بریالی TLS پړاو وروسته له تېرېدو پوره وساتئ، ځکه بېرته یې اړول ښیي چې کوم بدلون تونل واقعاً سم کړ۔

چېرته چې دا دواړه ګډېږي

دواړه ناکامۍ د نه پورته کېدونکې اړیکې په څېر ښکاري، او دواړه وروسته له هغې راځي چې کاروونکي نااړونده څه بدل کړي۔ همدا تصادف غلط ترمیم لږ وخت باوري ښکاره کوي۔

دوه عادتونه یې جلا ساتي۔ د ترتیباتو له لمس مخکې د کاروونکي لاګ ثبت کړئ، ترڅو لومړی حالت وساتل شي۔ په هر هڅه کې یو پوړ بدل کړئ، ترڅو بله پایله یو پېژندل شوي متغیر ته اړه ولري۔ د پورټ کتونکی او براوزر بشپړ ترتیب نه، جزوي کتنې دي، او هیڅ یو یې د کاروونکي خپل راپور ځای نه نیسي۔ دواړه عادتونه بې لګښت دي، او دواړه څېړنه لنډوي۔

د سند پوښتنه او د رسېدو پوښتنه په یو لامل بېلې ثبت شوې دي۔

د ریښتیني کاروونکي سره بیا ازموینه وکړئ، بیا دننه لاړ شئ

کله چې ځانګړی سمون ځای پر ځای شو، د براوزر ټب سره نه، د ریښتیني SSTP کاروونکي او ریښتیني پروفایل سره بیا هڅه وکړئ۔

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

که ناسته وصل شوه او سرچینې لا هم ناکامېږي، تونل نور شکمن نه دی: لارښوونې، DNS او د خدمتونو رسېدو ته لاړ شئ۔ هغه بله څېړنه ده بل ثبوت سره۔ د کارېدونکو TLS او تصدیق پړاوونو ساتل یې د لومړي تکرارېدو مخه نیسي۔ هغه پړاو چې ناکام شو په ټکټ کې ولیکئ، که نه بل کس بیا له سره پیلوي۔