Isku-dhici la'aan shahaadada SSTP: magaca ay serverkaagu tahay inuu soo bandhigo

SSTP macmiilku wuxuu aqbalaa serverka kaliya ka dib marka hubinta TLS guulaysto, hubintaasna waxay barbardhigtaa magac, silsilad iyo ujeeddo. Magacu wuxuu ka yimaaddaa profile-ka xiriirka, ma aha cinwaanka aad si kadis ah u pingi karto. Marka mid ka mid ah saddexda uusan isku dhicin, macmiilku wuxuu soo sheegaa dhibaato shahaado mana gaaro codsiga gelitaanka.

Magaca profile-ka ayaa go'aamiya waxa la hubinayo

SSTP waxay TLS ku shaqaysaa TCP 443, sidaas darteed macmiilku wuxuu u dhaqmaa sida macmiil kasta oo TLS ah: wuxuu magaca martigeliyaha ka qaataa profile-ka, wuxuu codsadaa magacaas wuxuuna shahaadada la barbardhigaa. Haddii aad cinwaan IP ku qorto profile-ka, barbardhiggu wuxuu noqdaa barbardhig cinwaanno IP, taas oo inta badan shahaadooyinka serverku aanay buuxin.

Sidaas darteed tijaabada browser-ku way guulaysan kartaa iyadoo VPN-ku guuldarraysto, sababtoo ah browser-ku wuxuu isticmaalay magac ka duwan kan profile-ka. Kala-qaybsanaanta la mid ah waxay soo baxdaa marka DNS split-horizon uu magaca martigeliyaha VPN u beddelo cinwaan gudaha ah halka browser-ku gaadhay mid dadweyne. Marka hore la jaan-qaad profile-ka magaca martigeliyaha la diiwaangeliyay, ka dibna barbardhig shahaadooyinka. Wax kasta oo kale oo aad beddesho intaas ka hor waa mala-awaal.

Waxa ay tahay inay shahaadada serverku qaado

Macmiillyada casriga ah waxay la barbardhigaan fidinta magacyada beddelka ee mawduuca, sidaas darteed magaca martigeliyaha waa inuu halkaas ku jiraa sidii gelin DNS. Magac guud oo keliya kuma filna lakabyada hubinta maanta, calaamadda duurjoogta waxay daboolaa hal calaamad, ma aha subdomain kasta oo aad hindiso. Saddex shahaado ayaa muujinaya xadka: magaca saxda ah oo ujeeddo khaldan leh wuxuu xaqiijiyaa aqoonsiga ka dibna ku guuldarraystaa hubinta ujeeddada, magaca iyo ujeeddada saxda ah oo leh shahaado dhexe maqan waxay ku guuldarraystaan silsiladda, iyo magac ku jira magaca guud oo keliya wuxuu ku guuldarraystaa ka hor inta mid ka mid ah labadaas uusan muhiim noqon.

Shahaadadu waxay sidoo kale u baahan tahay ujeeddada xaqiijinta serverka, qiimaha isticmaalka furaha la fidiyay ee lagu sheegay tillmaanta SSTP ee Microsoft, taas oo ah serverAuth oo leh aqoonsiga shayga 1.3.6.1.5.5.7.3.1. Isticmaalka furaha iyo silsilad ansax ah ayaa dhammaystira kooxda. Shahaado ku jirta serverka, loo soo saaray magaca saxda ah laakiin kaliya xaqiijinta macmiilka, weli way guuldarraystaa.

Hubi silsiladda iyo saacadda ka hor aqoonsiga

Guuldarrooyinka waqtiga iyo kalsoonida waxay soo saaraan natiijo muuqata oo la mid ah isku-dhici la'aanta magaca, labadaba waxaa ka jaban in la baaro dhibaatada furaha sirta. Hubi saacadda serverka iyo saacadda macmiilka, ka dibna akhri silsiladda sida macmiilku u arko:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Amarka koowaad wuxuu daabacaa magaca, daaqadda ansaxnimada iyo magacyada beddelka ee macmiilku la barbardhigayo. Kan labaad wuxuu soo sheegaa khaladaadka hubinta oo ay la socoto silsiladda sida la soo bandhigay, halkaasna waxaa ka soo baxa shahaadada dhexe ee maqan. Windows, weydiinta adeegga waqtigu waxay kuu sheegtaa haddii saacadda la saxayo ama ay si fudud u leexatay.

CA gudaha ah wuxuu ku darayaa hal shuruud oo dheeraad ah: macmiilku waa inuu aaminaada CA-daas. Ku rakib xididka hay'adda iyada oo loo marayo kanaalka qaybinta la ansixiyay, ma aha bogga bixiya shahaado beddel ah, sababtoo ah go'aankaas waa dhammaan qaabka kalsoonida oo yar.

Hubinta serverka iyo xaqiijinta isticmaalaha waa marxalado isdaba-joog ah oo leh guuldarrooyin kala duwan. Khalad shahaado macnaheedu waa macmiilku waligiis kalsooni kuma qabin serverka, halka furaha sirta ee la diiday macnaheedu yahay inuu kalsoonida qabay oo xogta khaldanaa. Daminta hubinta shahaadada si loo gaaro codsiga furaha sirta waxay meesha ka saaraysaa dammaanadda halkii ay hagaajin lahayd. Si loo caddeeyo in qaybta kale ee wadadu shaqayso, tijaabi isla magaca martigeliyaha iyo dekedda macmiil hore u aaminay silsiladda, oo ka tag profile-ka la geynayay sida uu yahay.

Hagaaji magaca ama shahaadada kadibna dib u tijaabi

Saddex shuruudood ayaa go'aamiya hagaajinta. Haddii magaca profile-ku khaldan yahay, hagaaji profile-ka ama ku dar magaca maqan shahaadada. Haddii silsiladdu aanay buuxsamayn, ku rakib shahaadada dhexe serverka. Haddii ujeeddadu khaldan tahay, dib u soo saar halkii aad ku wareegi lahayd.

Ka dib isbeddelka, dib ugu xidh macmiilka la taageeray oo xaqiiji in codsiga gelitaanku soo baxo, ka dibna in tunnel-ku kor u kaco. Ku qor tigidhka magaca martigeliyaha la isticmaalay, soo saaraha iyo taariikhda dhicitaanka. Diiwaankaas ayaa cusboonaysiinta xigta ka dhigaya hawlo qorshaysan halkii ay ahaan lahayd carqalad kale, wuxuuna sidoo kale tusayaa qofka xiga mid ka mid ah saddexda shuruudood oo dhab ahaan jabay.