SSTP ka dambeeya proxy baaraya TLS: halka uu fadhiistu go’o

Browser-kaagu wuxuu soo rarayaa intranet-ka shirkadda, shahaadada proxy-ga waa la aamminayaa, haddana macmiilka SSTP wuxuu ku dhacaa dhammaadka xiriirka. Qaabkani wuxuu tilmaamayaa farqiga u dhexeeya codsi web iyo fadhi tunnel, ma aha sir qaldan. Mara xiriirka TCP ilaa kor oo qor tallaabada ugu horreysa ee fashilma. Tallaabada, ma aha koodhka khaladka, ayaa kuu sheegaya in proxy-gu sababta.

Ka bilow halka macmiilku joogsado

Macmiilku wuxuu maraa taxane go'an: xiriir TCP oo dekedda 443, gacan-qaad TLS, xaqiijinta shahaadada, is-dhaafsiga HTTP ee SSTP, gorgortanka iyo xaqiijinta PPP, ka dibna qaabeynta IP. Fashil kasta oo tallaabo ah wuxuu ka taga astaan kale, isku-darkooduna wuxuu kuu horseedaa bogga qaabeynta khaldan.

Fashilka TCP waa waqti-dhaaf ama dib-u-dejin ka hor inta aan la arkin hal byte TLS. Fashilka TLS waa digniin ama waqti-dhaaf gacan-qaad. Fashilka shahaadada wuxuu soo saaraa digniin ku saabsan silsiladda ama magaca. Fashilka HTTP wuxuu yimaadaa gacan-qaad guul leh ka dib, inta badan sida koodh xaaladeed ama xirid degdeg ah. Fashilka PPP wuxuu yimaadaa ka dib marka tunnel-ka si farsamaysan loo dhiso, taas ayaa sababta uu ugu ekaado dhibaato xaqiijin.

Akhri diiwaanka macmiilka tallaabada ugu dambeysay ee guulaysatay halkii aad ka akhrin lahayd safka khaladka ugu horreeya. Safka khaladku wuxuu inta badan soo sheegaa natiijada, halka xadka tallaabada uu magacaabo qaybta diidday.

Waxa SSTP ka codsado shabakadda inay qaaddo

SSTP waxay ku socotaa TLS oo TCP 443, ka dibna waxay u dirtaa codsi HTTP oo la yiraahdo SSTP_DUPLEX_POST, oo lagu qeexay qoraalka SSTP, waddo qaabkeedu yahay /sra_{GUID}/. Codsigu wuxuu ku dhawaaqaa dherer macne aan xad lahayn ficil ahaan wuxuuna qulqulka u hayaa furan labada jiho inta fadhigu soconayo. Wareegyada PPP waxay ku socdaan gudaha qulqulkaas.

Taas ayaa sababta proxy maareeya baaritaan caadi ah uu weli fashilmi karo. GET ama POST leh jir xaddidan waa la kaydin karaa, la baari karaa oo la gudbin karaa; qulqul laba-geesood leh jir aan weligiis dhammaanin lama samayn karo. Proxy sugaya in jirku dhammaado wuxuu sugayaa weligiis, macmiilkuna ugu dambeyntii wuu waqti-dhaafaa.

Shaandhaynta hababka iyo xaqiijintu waxay ku daraan hababkooda fashil. Haddii proxy-gu codsanayo aqoonsi, macmiilka VPN ayaa laga yaabaa inuusan jawaabin inkastoo browser-ku jawaabi lahaa. Haddii uu habka tirito ama dib u qoro, iridda waxay diiddaa codsiga ka hor inta PPP bilaabmin.

Sababta baaritaanku u beddelo aqoonsiga

Proxy baaraya TLS wuxuu joojinayaa xiriirka TLS ee macmiilka wuxuuna u furayaa xiriir gooni ah iridda. Sidaas darteed macmiilku wuxuu xaqiijiyaa shahaadada proxy-ga, ma aha tan iridda, iridduna waxay u aragtaa proxy-ga sida lammaaneheed. Marka ururku qaybsado xididkiisa, browser-ka iyo macmiilka VPN labaduba waxay aqbali karaan silsiladdaas, sidaas darteed gacan-qaadku wuu guulaystaa dhibaataduna waxay u gudubtaa tallaabada xigta.

Xaqiijin guul leh macneheedu ma aha in proxy-gu qaadi karo fadhiga. Weli waa inuu gudbiyaa POST laba-geesood aan xad lahayn isagoo aan kaydsan, oo uu labada xiriirba noolaado saacado. Alaabo badan oo baaritaan ah waxaa loo dhisay taraafik codsi-jawaab waxayna si xun u maareeyaan kiiskan ama gabi ahaanba ma maareeyaan.

Taas ayaa sababta ku darista xidid aan la aqoon ama daminta xaqiijintu ay tahay hagaajin khaldan. Waxay beddelaa shahaadada macmiilku aqbalo; waxba kama qabato maareynta qulqulka ee dhab ahaan jebiyay fadhiga.

Aqoonso soo-saare ka hor inta aadan beddelin dejinta

Weydii barta ugu dambeysa shahaadadee ay soo bandhigto iyo cidda saxeexday. Amarrada hoose waxay muujinayaan silsiladda iyo soo-saaraha iyagoon bilaabin fadhi VPN:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Haddii soo-saaruhu yahay CA dadweyne, xiriirka host-kan lama joojinayo oo fashilku meel kale ayuu ku yaal. Haddii soo-saaruhu yahay CA-da ururka laftiisa, baaritaanku wuu firfircoon yahay iriddana waxaa lagu gaaraa proxy. Isbarbar dhig faraha raadka midka kooxda shabakaddu filayso ka hor inta aadan magaca oo keliya ka soo gabagabeyn.

Imtixaan browser oo isla host-ka wuxuu caddeeyaa oo keliya in proxy-gu aqbalo GET. Waxba kama sheegayo habka SSTP, URI-da codsiga ama cimriga jirka, sidaas darteed bogga intranet ee shaqeeya ha u qaadan caddayn in waddada tunnel-ka la taageeray.

Dooro waddada la taageeray

Weydii milkiilaha shabakadda hal su'aal oo cad: proxy-gu ma ogolaanayaa POST laba-geesood aan kaydsanayn oo u socda iriddan dekedda 443? Haa waxay keenaysaa ka-reeb xaalad proxy ama marin la diiwaangeliyay oo loogu talagalay host-ka VPN. Maya waxay ka dhigan tahay in waddada la baaray aysan qaadi karin SSTP, hagaajinta la taageerayna waa waddo ama borotokool kale, ma aha hagaajin macmiil.

Xulashooyinka caadi ahaan waxaa ka mid ah bixitaan aan la baarin oo loogu talagalay iridda VPN, naqshad tunnel qaybsan oo proxy-ga uun u mara taraafikga shirkadda, ama borotokool kale oo ururku ku taageero deked kale. Mid kasta waxaa ku jira naqshadda shabakadda, mid kastana waa in lagu tijaabiyaa isla qalabka iyo borofiilka si isbarbardhiggu u go'doomiyo waddada.

Diiwaangeli natiijada: soo-saare, tallaabo fashilantay, qaanuunka proxy iyo waddada la doortay. Qofka xiga ee arka isla hakadka 98 boqolkiiba wuxuu hubin karaa hal xaqiiqo halkii uu dib u celin lahaa socodka oo dhan.