SSTP wuu guuldareystaa halka HTTPS-ka browser-ku guuleysto: sababta
SSTP wuxuu ku shaqeeyaa gudaha TLS dekedda 443, laakiin ma aha codsi web. Tijaabi TCP, aqoonsiga TLS, is-weydaarsiga SSTP iyo xaqiijinta PPP sida marxalado kala duwan.
Browser-ku wuxuu ku furaa magaca martigeliyaha VPN HTTPS si aan cabasho lahayn, laakiin macmiilka SSTP wali wuu diidayaa inuu xirmo. Wax is khilaafsan laguma arko lamaanahan. SSTP wuxuu TLS u isticmaalaa gaadiidka dibadda ah ka dibna wuxuu codsigiisa iyo culayska PPP ku fuliyaa isla xiriirkaas gudihiisa, sidaas darteed soo dejinta bog si guul leh u dhacday waxay caddaynaysaa hal shay oo cidhiidhi ah oo keliya: martigeliyaha ayaa ka jawaabaya GET dekedda 443. Macmiilku wuxuu weydiinayaa su'aal kale, server-kuna wuu si xun uga jawaabi karaa.
Boggu wuu soo dejiyaa tunnel-kuna ma soo dejiyo
Dadku waxay u leexdaan imtixaanka browser-ka sababtoo ah wuu degdeg yahay, ka dibna natiijada waxay u qaataan caddayn in server-ku la gaari karo oo la habeeyay. Waa caddayn ku saabsan GET ee jidka ay furatay bar-ta halka, wax ka badan maaha. Wada-hadalka VPN wuxuu bilaabmaa isla gacan-qabsiga TLS ka dib, laakiin wuxuu diraa hab iyo jid uusan bog web waligiis isticmaalin. Sidaas darteed jawaabta 200 ee browser-ka waxba kama sheegto in barta dhammaadka SSTP ay jirto iyo in kale.
Kala sooc labada indho-indhayn oo raadintu way gaabanaysaa. Gaadiidka iyo silsiladda shahaadada way shaqeeyaan, waxna ku jira is-weydaarsiga borotokoolka ee ka sarreeya ma shaqeeyaan. Tani waa baaritaan ka duwan deked jabtay ama shahaado dhacday, waxayna u baahan tahay caddayn kale.
Waxa macmiilka SSTP uu dhab ahaan diro
Macmiilku wuxuu u diraa codsi HTTP habka SSTP_DUPLEX_POST jidka /sra_{GUID}/, ka dibna wuxuu jirka xiriirka u hayaa furan sida qulqul laba-geesood ah oo qaada wareegyada PPP. Server u hoggaansama wuxuu ku jawaabaa HTTP/1.1 200 oo wuu joojiyaa inuu u dhaqmo sida server web. Wax kasta oo kale waa saxeex: 405 ama 404 waxay ka dhigan tahay in barta dhammaadka aysan jirin, 301 ama 302 waxay ka dhigan tahay in wax codsiga dib u jiitayso, FIN degdeg ahna waxay ka dhigan tahay in proxy ama server uu qulqulka xiray.
Sidaas darteed bartilmaameadku waa inuu noqdaa server SSTP oo aan ahayn server web oo shahaado TLS lagu dhejiyay. Habka, jidka iyo jirka muddada dheer waa shuruudaha borotokoolka, sidaas darteed proxy rogan ma karo inuu ku daro habaynta oo keliya. Proxy si fiican u gudbiya HTTPS caadi ah weli wuu diidi karaa hab uusan aqoon.
Halka proxy ama server web uu jebiyo qulqulka
Dhexdhexaadiye wuxuu baarayaa sadarka codsiga HTTP ka hor inta uusan wax gudbin, hab gaar ah oo leh jid aan caadi ahaynna wuu ku guuldareystaa shuruudihiisa. Qalabka qaarkood waxay bixiyaan bog caadi ah iyagoo diidaya ama joojinaya tunnel-ka, sidaas darteed macmiilku wuxuu soo sheegaa xiriir bilaabmay oo dabadeed dhinta halkii uu ahaan lahaa diidmo nadiif ah. Kuwa kale waxay aqbalaan codsiga, ka dibna waxay ku dabaqaan waqti-go'an jirka ama firfircooni-la'aan oo PPP keepalive-yadu aanay u adkaysan karin. Labaduba isku mid bay uga muuqdaan dhinaca macmiilka, sidaas darteed marxaladda guuldareysatay ayaa muhiim ka ah qoraalka khaladka.
Wadaagista dekedda 443 ee u dhexeeya websaydh iyo SSTP waa doorasho dariiqa, ma aha ballanqaad in bood kastaa labada wada-hadal si isku mid ah u maareyn doono. Haddii miisaaniyaha culeyska, derbi dab ama dhammeeyaha TLS uu jidka ku jiro, ku dar liiska tuhmanaha ka hor inta aadan taaban habaynta VPN.
Marxaladaha gooni ahaan u tijaabi
Ishkaadka si taxane ah u socodsii oo joog marka ugu horreysa ee guuldareysta, sababtoo ah marxalad kastaa waxay meesha ka saartaa lakab kale. Baaritaanka TLS ee hoose wuxuu kala soocaa aqoonsiga shahaadada iyo wax kasta oo SSTP sameeyo. Ku beddel magaca martigeliyaha bartaada dhammaadka oo akhri subject-ka iyo silsiladda uu daabaco.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comKa dib u xiriir caddaynta hadhay marxaladaha halkii aad ka qiyaasi lahayd khaladka macmiilka. Shaxda hoose waa liiska hubinta ee lagu soo xigtay tikit-ka, oo wata saxeexa kala sooca hal guuldareysi iyo tan xigta.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
Tikit-ka ku qor marxaladda ugu dambeysay ee guuleysatay halkii aad qori lahayd "lama xirmi karo". Qeexitaanka MS-SSTP wuxuu diiwaangeliyaa codsiga iyo is-weydaarsiga PPP ee ka dambeeya gacan-qabsiga TLS, waana tixraaca sababta imtixaan browser-ku aanu u beddeli karin midkoodna.
Marka hore aqoonsi, ka dib PPP
Aqoonsiga TLS iyo xaqiijinta PPP waa taxane, ma aha beddel, waxaana isku qasiddoodu dadka u horseedaa habaynta server khaldan. Macmiilku marka hore wuxuu xaqiijiyaa shahaadada server-ka iyo ujeeddadeeda loogu talagalay, ka dib PPP wuxuu ka wada-hadlaa xaaladdiisa oo wuxuu xaqiijiyaa isticmaalaha habka caqabad-jawaab ama EAP. Dhibaatada shahaadadu waxay bixisaa khalad ka duwan sirta la diiday, numba midkoodna ma sharraxayo marxaladda uu kan kalena daboolo.
Ku beddelka magaca martigeliyaha cinwaan, ama ka gudubka digniinta shahaadada, waxay meesha ka saaraysaa hubinta lagu aqoonsan lahaa marxaladda guuldareysatay halkii ay toosin lahayd. Hayso digniinta oo akhri. Sidoo kale ha dib u habeyn sirta PPP marka is-weydaarsiga HTTP uusan waligiis gaarin dhaqanka SSTP, sababtoo ah aqoonsiga lama weydiisan waligiis.