SSTP waxay qabsatay dekedda 443: sababta Apache uusan u bilaabmin

Apache waxay joojisaa ka jawaabista 443 galabnimadii qofku daaro xiriirka VPN ee soo gala, diiwaanka khaladaadkiisuna wuxuu eedeynayaa bind halkii uu eedeyn lahaa kaydka ka dambeeya. Windows Routing and Remote Access waxay daartaa SSTP isla waqtigaas, gudbiyaha SSTP-na wuxuu ku dalbanayaa TCP 443 iyada oo maraysa HTTP stack ka hor inta aan macmiil kasta la aqoonsan. Dalabku wuu sii jiraa xitaa marka shahaadada maqan tahay, magacu qaldan yahay ama handshake kasta la diido, sidaas darteed VPN aan cidna geli karin ayaa weli dekedda haysata. Marka hore akhri shaxda dhegeysiga; PIDka haysta 443 ayaa go’aaminaya mid ka mid ah hagaajinta hoose ee furan.

Kaydku wuu ka badbaadaa shahaado jaban

SSTP waxay PPP ku duubtaa fadhi TLS, taas ayaa u baahan 443 iyo taas ayaa ka dhex gudubta boroksiyada tuunallada kale tuura. Gudbiyuhu ma aha socket ay adeegga VPN u furo naftiisa: SstpSvc waxay ku diiwaangelisaa darawalka HTTP ee kernelka, sidaas darteed dekeddu way sii kaydsan tahay inta adeeggu shaqeynayo. Diiwaangelintaas weligeed shahaadda kama weydiiso, taas oo macnaheedu yahay magac dhacay, subject aan ku habboonayn ama shahaado la’aan gebi ahaanba waxay 443 ka dhigaan la haysto. Markaas fashilku wuxuu u kala baxaa laba jiho: handshake la diiday waxay galaan diiwaanka System ee hoos yimaada RasSstp, halka serverka webku uu kaliya soo sheegi karo inuusan bind karin.

netstat -aon | findstr :443
tasklist /svc /fi "PID eq <pid>"

Sadarka koowaad wuxuu soo celiyaa PIDka milkiilaha; tan labaad waxay magac u bixisaa adeegga ka dambeeya, jawaabtuna badanaa waa adeegga HTTP ama stack RRAS. Marka tasklist ku jawaabo hannaan marti-geliyaha la wadaago, akhri tiirka adeegga halkii aad ka malayn lahayd magaca hannaanka.

Digniinaha RasSstp waxay mudan yihiin akhriska ka dib oo kaliya, sababtoo ah waxay sharraxaan handshake fashilmay oo waxba kama sheegaan kaydka sababay isku dhaca. Barta dhammaadka VPN ee diidda macmiil kasta ayaa weli dekedda leh. Diiwaanka u qaado su’aasha labaad, ma aha tan koowaad.

IIS waxay wadaagtaa darawalka, Apache waxay furaa socket

IIS waxay bindingskeeda u dhiibtaa isla darawalka kernelka ee SSTP isticmaasho, darawalkaasna wuxuu kala soocaa xiriirka soo gala magaca marti-geliyaha iyo horudhaca URL, sidaas darteed labada adeegba waxaa loo sheegi karaa inay rabaan 443 iyada oo aan midkoodna fashilmin. Apache iyo nginx waxay sameeyaan liddi: waxay bind ku wacaan socketkooda, nidaamka hawlgalkuna wuu diidaa sababtoo ah cinwaanka hore ayaa la qabtay. Mid ka mid ah labada habayn midkoodna khalad ma leh; farqigu wuxuu ku jiraa API kee ayaa dekedda leh. Taas ayaa sidoo kale sababta daarka VPN uu hal mareeg ku dumiyo hal marti-geliye oo mareeg isku mid ah ku daayo mid kale aan la taaban.

Ismaandhaafkani wuxuu go’aamiyaa qaabka hagaajinta. Haddii IIS horay u tahay albaabka hore, isku dhacu wuxuu noqdaa su’aal ku saabsan horudhacyo, bindings iyo shahaadooyin. Haddii Apache yahay albaabka hore, ama isagu 443 ka guuraa ama gudbiyaha SSTP, qaybta xigtana waxay daboolaysaa labada tallaabo.

Dooro adeegga hayn doona 443

Dekedda gudbiyuhu waxay ku nooshahay hal qiime diiwaan, DWORD tobanle oo hoos yimaada furaha parameetarada Sstpsvc. Beddel qiimaha, dib u bilow Routing and Remote Access, oo shaxda dhegeysiga ka xaqiiji in dekeddii hore ay bannaan tahay.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort /t REG_DWORD /d 4443 /f
Restart-Service RemoteAccess

Dooro deked aan wax kale ku marti-geliyaha rabin, oo ku qor tobanle: reg add waxay kaydiyaa DWORDka sida uun loo qoray, sidaas darteed qiime loo qaatay lix iyo tobanle wuxuu ku dhacaa deked kale. Haddii weydiintu sheegto in qiimuhu aanu jirin, sadarka labaad ayaa abuura. Restart-Service RemoteAccess waxay tuuraa dhammaan ku xiran, taas oo mudan in la qorsheeyo. Ka dib mar kale socodsii hubinta dhegeysiga, sababtoo ah gelitaan duug ah oo 443 ah waxay ka dhigan tahay in adeeggu haysto diiwaangelintiisii hore.

Gudbiyaha rariddiisu waxay leedahay qiimo aan beddelka diiwaanku muujin. Macmiilada caadiga ah ee SSTP waxay wacaan 443, sidaas darteed profile kasta oo macmiil ah wuxuu u baahan yahay dekedda cusub, socodkuna wuxuu joojiyaa u ekaanshaha codsi web wax kasta oo baaraya wadada. Shabakad uun u dulqaadata taraafik u eg HTTPS, taas waxay meesha ka saartaa inta badan sababta SSTP loo doortay. Dad macmiil ah oo yar oo la maareeyo ayaa qaata taas; saldhig isticmaale oo dadweyne ama BYOD ah ma qaato.

Tallaabada kale waxay 443 ku haysaa IIS oo waxay Apache u qaaddaa backend uu boroksinguhu u gudbiyo. Waxay ilaalisaa caadada SSTP oo waxay dekedda u reebtaa hal milkiile, iyada oo qiimaha ku tahay madaxyada la gudbiyay, cinwaanka macmiilka ee application-ku aanu si toos ah u arkin, iyo backend waa inuu ku hadlo borotokoolka uu boroksinguhu dhab ahaan diro.

Caddee milkiilaha, shahaadada iyo handshakeka si kala horreysa

Xiriir TCP oo dhammaaday wuxuu caddeeyaa in gudbiye jiro oo wax kale ma jiraan, taas ayaa sababta baaritaanka dekeddu u ekaan karo mid caafimaad qaba inta tuunalladu weli fashilmayo. Afarta heerar siyaabo kala duwan ayay u fashilmaan, hagaajinta loo jeediyay heerka aadan jebin waxay badanaa sii qoto dheeraysaa isku dhaca. Si kala horreysa uga shaqee oo joog halka jawaabtu kala go’do.

netstat -aon | findstr :443
certutil -store My
Get-WinEvent -LogName System -ProviderName RasSstp -MaxEvents 20

Sadarka koowaad wuxuu magac dhigaa PIDka haya 443, waana inuu noqdaa adeegga aad hadda habaysay. Tan labaad waxay taxdaa shahaadooyinka mashiinka iyada oo la socota subjects-kooda, sidaas darteed magac aan la socon cinwaanka profile-ka macmiilka ayaa isla markiiba indhaha soo dhaqa. Weydiinta dhacdooyinka waxay soo celisaa diiwaannada SSTP ee dhaw, handshake aan weligiis gaarin aqoonsiga PPP wuxuu ka tagaa diiwaan ka duwan kan la aqoonsado oo markaas la diido. Heerka ugu dambeeya waxaa lagu arkaa oo kaliya macmiilka, halkaas oo gelitaanku uu sheego mid xiran ama magaca dhibaatada PPP.

Marka hal marti-geliye waa inuu qabto labada shaqo, si miyir leh u dooro milkiilaha 443 oo qor doorashada, sababtoo ah haddii kale qofka xiga ee daara sifo waxa uu dib u ogaan doonaa isku dhacaan. Kala saaridda doorarka ayaa weli jawaabta ugu nadiifta badan: server web oo dadweyne ah iyo barta gelitaanka fog waxay qaataan wareegyo kala duwan oo balastar, shahaado iyo dib u bilow ah, wareegyadaasna waxay ku kulmaan jadwalkooda. Si kastaba ha ahaatee, kaga tag qoraalka wareejinta hubinta dhegeysiga, wadada diiwaanka iyo dekedda la doortay.