බ්‍රවුසරයේ HTTPS සාර්ථක වන තැන SSTP අසාර්ථක වේ: ඇයි
SSTP පෝට් 443 හි TLS තුළ ක්‍රියා කරයි, නමුත් එය වෙබ් ඉල්ලීමක් නොවේ. TCP, TLS අනන්‍යතාව, SSTP හුවමාරුව සහ PPP සත්‍යාපනය වෙන වෙනම අදියර ලෙස පරීක්ෂා කරන්න.
බ්‍රවුසරය VPN සත්කාරක නාමය HTTPS හරහා කිසිදු පැමිණිල්ලක් නොමැතිව විවෘත කරයි, නමුත් SSTP සේවාලාභියා තවමත් සම්බන්ධ වීමට ප්‍රතික්ෂේප කරයි. එම යුගලයේ පරස්පරයක් නැත. SSTP TLS බාහිර ප්‍රවාහනය ලෙස භාවිතා කර පසුව එම සම්බන්ධතාව තුළම තමන්ගේ ඉල්ලීම සහ PPP භාරය ක්‍රියාත්මක කරයි, එබැවින් පිටුවක් සාර්ථකව පූරණය වීම එක් පටු කරුණක් පමණක් ඔප්පු කරයි: සත්කාරකය පෝට් 443 හි GET එකකට පිළිතුරු දෙයි. සේවාලාභියා වෙනත් ප්‍රශ්නයක් අසමින් සිටින අතර, සේවාදායකය ඊට නරක ලෙස පිළිතුරු දිය හැක.
පිටුව පූරණය වේ, උමග නොවේ
මිනිසුන් බ්‍රවුසර පරීක්ෂණයට යොමු වන්නේ එය වේගවත් නිසාය, පසුව ප්‍රතිඵලය සේවාදායකය ළඟා විය හැකි සහ වින්‍යාසගත කර ඇති බවට සාක්ෂියක් ලෙස ගනී. එය ලිපින තීරුව විවෘත කළ මාර්ගයට GET එකක් පිළිබඳ සාක්ෂියකි, ඊට වැඩි යමක් නොවේ. VPN සංවාදය එම TLS අත්හදා ගැනීමෙන් පසු ආරම්භ වේ, නමුත් යවන්නේ වෙබ් පිටුවක් කිසිදා භාවිතා නොකරන ක්‍රමයක් සහ මාර්ගයක්. එබැවින් බ්‍රවුසරයට දෙන 200 පිළිතුර SSTP අන්ත ලක්ෂ්‍යය පවතීද යන්න ගැන කිසිවක් නොකියයි.
නිරීක්ෂණ දෙක වෙන් කරන්න, සෙවීම කෙටි වේ. ප්‍රවාහනය සහ සහතික දාමය ක්‍රියා කරයි, ඒවාට ඉහළින් ඇති ප්‍රොටෝකෝල හුවමාරුවේ යමක් ක්‍රියා නොකරයි. මෙය කැඩුණු පෝට් එකකට හෝ කල් ඉකුත් වූ සහතිකයකට වඩා වෙනස් පරීක්ෂණයක් වන අතර, වෙනස් සාක්ෂි අවශ්‍ය වේ.
SSTP සේවාලාභියා ඇත්තටම යවන්නේ කුමක්ද
සේවාලාභියා SSTP_DUPLEX_POST ක්‍රමයෙන් /sra_{GUID}/ මාර්ගයට HTTP ඉල්ලීමක් යවා, පසුව සම්බන්ධතාවයේ පබෝධය PPP රාමු දරන ද්විමුඛ ප්‍රවාහයක් ලෙස විවෘතව තබා ගනී. අනුකූල සේවාදායකය HTTP/1.1 200 ලෙස පිළිතුරු දී වෙබ් සේවාදායකයක් මෙන් හැසිරීම නවත්වයි. අනෙක් සියල්ල අත්සනකි: 405 හෝ 404 යනු අන්ත ලක්ෂ්‍යය නොමැති බවයි, 301 හෝ 302 යනු යමක් ඉල්ලීම නැවත යොමු කරන බවයි, සහ ක්ෂණික FIN යනු ප්‍රොක්සියක් හෝ සේවාදායකයක් ප්‍රවාහය වසා ඇති බවයි.
එබැවින් ඉලක්කය TLS සහතිකයක් තැබූ වෙබ් සේවාදායකයක් නොව SSTP සේවාදායකයක් විය යුතුය. ක්‍රමය, මාර්ගය සහ දිගුකාලීන පබෝධය ප්‍රොටෝකෝල අවශ්‍යතා වන බැවින් ප්‍රතිලෝම ප්‍රොක්සියකට වින්‍යාසයෙන් පමණක් ඒවා එකතු කළ නොහැක. සාමාන්‍ය HTTPS හොඳින් යවන ප්‍රොක්සියකට පවා තමා නොදන්නා ක්‍රමයක් ප්‍රතික්ෂේප කළ හැක.
ප්‍රොක්සියක් හෝ වෙබ් සේවාදායකයක් ප්‍රවාහය කඩන්නේ කොහේද
මැදිහත්කරුවෙකු යමක් යැවීමට පෙර HTTP ඉල්ලීම් පේළිය පරීක්ෂා කරයි, සහ අසාමාන්‍ය මාර්ගයක් සහිත අභිරුචි ක්‍රමයක් ඔහුගේ නීතිවලට අසාර්ථක විය හැක. සමහර උපාංග සාමාන්‍ය පිටුවක් සපයන අතරම උමග ප්‍රතික්ෂේප කරයි හෝ බාධා කරයි, එබැවින් සේවාලාභියා පිරිසිදු ප්‍රතික්ෂේපයක් වෙනුවට ආරම්භ වී පසුව මිය යන සම්බන්ධතාවක් වාර්තා කරයි. අනෙක් ඒවා ඉල්ලීම පිළිගෙන පසුව PPP කීප්අලයිව්වලට ඔරොත්තු නොදෙන පබෝධ හෝ නිෂ්ක්‍රීය කාල සීමාවක් යොදයි. දෙකම සේවාලාභියාගේ පැත්තෙන් එකම ලෙස පෙනේ, එබැවින් අසාර්ථක වූ අදියර දෝෂ පෙළට වඩා වැදගත් වේ.
වෙබ් අඩවියක් සහ SSTP අතර පෝට් 443 බෙදා ගැනීම යනු මාර්ගගත කිරීමේ තේරීමකි, සෑම පිම්මක්ම සංවාද දෙකම එකම ආකාරයට හසුරුවන බවට පොරොන්දුවක් නොවේ. මාර්ගයේ භාර සමතුලිතකරුවක්, ගිනිපවුරක් හෝ TLS අවසන් කරන්නෙක් සිටී නම්, VPN වින්‍යාසය ස්පර්ශ කිරීමට පෙර ඔහු සැකකරුවන් ලැයිස්තුවට එකතු කරන්න.
අදියර වෙන වෙනම පරීක්ෂා කරන්න
පරීක්ෂණ පිළිවෙලට ධාවනය කර පළමු අසාර්ථකත්වයේදී නවතින්න, මන්ද සෑම අදියරක්ම වෙනත් ස්ථරයක් බැහැර කරයි. පහත TLS අනුවේදකය සහතිකයේ අනන්‍යතාව SSTP කරන සියල්ලෙන් වෙන් කරයි. සත්කාරක නාමය ඔබේ අන්ත ලක්ෂ්‍යයෙන් ප්‍රතිස්ථාපනය කර එය මුද්‍රණය කරන subject සහ දාමය කියවන්න.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comපසුව සේවාලාභී දෝෂයෙන් අනුමාන කරනවා වෙනුවට ඉතිරි සාක්ෂි අදියරවලට ගළපන්න. පහත වගුව ටිකට්පතේ උපුටා දැක්වීමට ඇති පිරික්සුම් ලැයිස්තුවයි, එක් අසාර්ථකත්වයක් ඊළඟ එකෙන් වෙන් කරන අත්සන සමඟ.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
ටිකට්පතේ "සම්බන්ධ විය නොහැක" ලෙස ලිවීම වෙනුවට අවසන් සාර්ථක අදියර සටහන් කරන්න. MS-SSTP පිරිවිතරය TLS අත්හදා ගැනීමෙන් පසු එන ඉල්ලීම සහ PPP හුවමාරුව ලේඛනගත කරයි, සහ බ්‍රවුසර පරීක්ෂණයකට ඒ දෙකෙන් කිසිවක් වෙනුවට පැමිණිය නොහැකි බවට ඇති යොමුව එයයි.
පළමුව අනන්‍යතාව, පසුව PPP
TLS අනන්‍යතාව සහ PPP සත්‍යාපනය අනුක්‍රමික වේ, විකල්ප නොවේ, සහ ඒවා මිශ්‍ර කිරීම මිනිසුන්ව වැරදි සේවාදායක සැකසුමට යවයි. සේවාලාභියා පළමුව සේවාදායක සහතිකය සහ එහි අභිප්‍රේත අරමුණ සත්‍යාපනය කරයි, පසුව PPP තමන්ගේ තත්ත්වය සාකච්ඡා කර පරිශීලකයා අභියෝග-ප්‍රතිචාර ක්‍රමයකින් හෝ EAP මගින් සත්‍යාපනය කරයි. සහතික ගැටලුවක් ප්‍රතික්ෂේප කළ මුරපදයකට වඩා වෙනස් දෝෂයක් ලබා දෙන අතර, කිසිදු දෝෂයක් අනෙක ආවරණය කරන අදියර විස්තර නොකරයි.
සත්කාරක නාමය ලිපිනයකින් ප්‍රතිස්ථාපනය කිරීම, හෝ සහතික අනතුරු ඇඟවීම මඟ හරිමින් ක්ලික් කිරීම, අසාර්ථක වන අදියර හඳුනාගැනීමට තිබූ පරීක්ෂාව එය නිවැරදි කරනවා වෙනුවට ඉවත් කරයි. අනතුරු ඇඟවීම තබා එය කියවන්න. HTTP හුවමාරුව කිසිදා SSTP හැසිරීමට ළඟා නොවූ විට PPP මුරපදය නැවත සකසන්න එපා, මන්ද අක්තපත්‍ර කිසිදා ඉල්ලා නොමැති නිසා.