SSTP je PPP cez HTTPS, nie webová stránka na porte 443

SSTP prenáša PPP vnútri HTTPS spojenia, a preto to pre všetko uprostred vyzerá ako webová premávka. TLS a HTTP vytvoria vonkajší kanál, potom riadiace správy SSTP pripravia tunel a PPP dodá správanie relácie. Prehliadač, ktorý načíta stránku na tej istej adrese dokončil len časť prvej fázy. Považovať to za test VPN je spôsob, akým funkčné proxy dostane vinu za nesúlad protokolu.

Prejdite štyri fázy po poriadku a porucha, ktorú vidíte, spadne do jednej z nich.

Fáza 1: TCP a TLS

Klient otvorí TCP spojenie na port 443 a vykoná TLS handshake. Reťazec certifikátov musí zodpovedať názvu hostiteľa, s ktorým bol klient nakonfigurovaný. Nesúlad názvu tu vyvolá poruchu skôr, než sa vymení akákoľvek správa SSTP, a špecifikácia SSTP predpokladá, že tento vonkajší HTTPS kanál už existuje. Nič v neskorších fázach nedokáže poruchu dôvery tu vykompenzovať.

Bežný webový server túto fázu zvládne bezchybne a napriek tomu zlyhá v nasledujúcej. Úspech TLS je dôkaz o certifikáte, nie o protokole za ním.

Fáza 2: požiadavka HTTPS

SSTP posiela svoju požiadavku špeciálnou metódou SSTP_DUPLEX_POST a drží výmenu otvorenú namiesto vrátenia dokumentu. Server alebo proxy nakonfigurované pre bežné požiadavky na stránky môže spojenie prijať a potom metódu odmietnuť. Toto odmietnutie je problém kompatibility, ktorý ľudia zvyčajne opisujú ako zablokovaný port 443.

Prečítajte si kód odpovede a metódu v logu servera. Odmietnutie v tejto fáze je iný problém ako časový limit TCP a oba vedú k iným opravám.

Fáza 3: riadiace správy

Keď je požiadavka prijatá, SSTP si vymieňa riadiace správy, ktoré vyjednajú a pripravia tunel. Sú to protokolové správy vnútri tela HTTPS, nie požiadavky HTTP, takže proxy, ktoré telá kontroluje a prepisuje, ich môže pokaziť, zatiaľ čo požiadavky na stránky zostanú nedotknuté.

Tu si zariadenie na hĺbkovú kontrolu získava povesť. Keď sa stránky načítavajú a VPN zlyháva, skontrolujte, či sa telo mení, a nie či je port otvorený.

Fáza 4: PPP preberá

PPP potom dodá správanie relácie: vyjednanie spojenia, overenie a nasledujúcu konfiguráciu sieťovej vrstvy. Overenie PPP je oddelené od kontroly TLS, ktorou klient už prešiel. Certifikát servera, ktorý klient prijme, nič nehovorí o tom, či sú prihlasovacie údaje používateľa platné alebo či je účet oprávnený.

Prijatý certifikát a odmietnuté prihlásenie si neodporujú. Sú to po sebe idúce fázy s nezávislými výsledkami.

Overovanie má niekoľko úloh

Klient overí identitu servera TLS voči svojmu úložisku dôvery a nakonfigurovanému názvu. Potom PPP overí používateľa alebo stroj podľa nasadenia. Server môže pridať vlastné pravidlá o tom, kto sa smie pripojiť a čo smie dosiahnuť. Udržujte názov hostiteľa v súlade s identitou certifikátu, pretože nahradenie surovou adresou premení funkčné nastavenie na poruchu kontroly názvu.

Zapíšte, ktorá fáza poruchu nahlásila. Certifikát, metóda, riadiaca správa, overenie PPP, potom trasy: päť miest, päť opráv.

Čo test v prehliadači môže a nemôže ukázať

Načítanie stránky na adrese dokazuje preklad DNS, dostupnosť TCP a že niečo počúva a hovorí HTTP. Nedokazuje, že je metóda prijatá, že výmena riadiacich správ prežije alebo že je overenie PPP nakonfigurované. Použite klienta, ktorý implementuje SSTP, namiesto prevodu iného profilu zmenou portu.

Keď je relácia nadviazaná, o tom, čo používateľ dosiahne, stále rozhodujú trasy, DNS a presmerovanie na strane servera. Tunel je cesta, nie oprávnenie.