Waqti-ka-dhicid SSTP ama khalad shahaado: sida loo kala garto

Xiriirka SSTP wuxuu ku guuldareystaa laba siyaabood oo isku mid uga muuqda kursiga isticmaalaha, hagaajinta mid kastaana waxay ku taal lakab kale. Waqti-ka-dhicid macnaheedu waa isdhaafsi loo baahan yahay waligiis ma dhammaanin; khalad shahaado macnaheedu waa agabka aqoonsiga ayaa yimid oo la diiday. In tan labaad loo tixgeliyo tan hore waxay kuu horseedaa dab-demisyada iyo furayaasha sirta ah ee aan waligood dhibaatada ahayn. Caddaynta kala soocda waxay ku jirtaa diiwaanka macmiilka laftiisa, haddii aad akhrido ka hor inta aanad wax beddelin.

Laba guuldarro, laba isdhaafsi oo kala duwan

SSTP wuxuu tunnel ku qaadaa gudaha fadhi qaab HTTPS ah, sidaas darteed wuxuu ka badbaadayaa shabakadaha aan oggolaan wax kale oo aan ahayn 443. Macmiilku wuxuu dhammeeyaa gacan-qabsiga TLS, wuxuu diraa codsi HTTP oo leh hab u gaar ah borotokoolka, ka dibna tunnelku wuxuu ku socdaa qulqulkaas. Guuldarro ku timaadda mid kasta oo tallaabooyinkaas ah waxay joojisaa xiriirka, oo kaliya kuwa dambe ayaa la xiriira xogta gelitaanka.

Nidaamkaas waa ogaanshaha. Haddii gacan-qabsiga TLS uusan waligiis dhammaanin, wax xog gelitaan ah lama dirin, sidaas darteed dib-u-dejinta furaha sirta ah ma caawin karto. Haddii gacan-qabsigu dhammaado oo uu istaago, aqoonsiga waa la aqbalay oo wax jidka codsiga ah ayaa diiday. Haddii gacan-qabsigu ku guuldareysto fariin xaqiijin, serverku waa jawaabay oo macmiilku ma uusan jeclayn wixii uu maqlay. Saddex natiijo, saddex lakab.

Sadarka diiwaanku wuxuu inta badan sheegaa midka saddexda ah ee aad ku jirto, sidaas darteed waa lagu qasbay in la qoro ka hor beddelka koowaad.

Waqti-ka-dhicid macnaheedu waa marxalad waligeed ma dhammaanin

Ku bilow xallinta magacyada iyo gaaritaanka TCP, sababtoo ah waqti-ka-dhicid halkaas ah wuxuu u muuqdaa sida waqti-ka-dhicid dambe. Hubiyaha dekedda ee soo sheega 443 inuu furan yahay wuxuu kaliya caddeeyaa in dhegeystuhu aqbalay xiriir, oo wax ka badan ma jiro.

Tuhmanaha xiga ma aha martigeliyaha, waa jidka. Proxsiyada iyo dab-demisyada garanaya barnaamijyada waxay mararka qaar diidaan habka codsiga ee SSTP isticmaalo, ama waxay tuuraan qulqul saacado furan, labada dabeecadna macmiilka dhinaciisa waxay u muuqdaan waqti-ka-dhicid. Bog HTTPS caadi ah oo martigeliyahaas bixiyo wuu si fiican u soo-degayaa iyadoo habka tunnelka la diiday, sidaas darteed baarista meesha ugu dambaysa wax yar bay caddaynaysaa. Ka tijaabi shabakad aan proxsi lahayn si aad u kala soocdo labadaas xaaladood.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Waqti-ka-dhicid ka hor jawaab kasta oo ka timaadda dhinaca kale wax wax kama sheegto akoonka, beddelka furaha sirta ah wakhtigaas wuxuu kaliya ku darayaa hal doorsoome.

Khalad shahaado macnaheedu waa aqoonsiga waa la diiday

Halkan serverku runtii waa jawaabay, sidaas darteed shabakaddu way shaqaynaysaa su'aashuna waxay u gudubtaa aqoonsiga. Isbarbar dhig magaca uu macmiilku wacdo iyo magacyada uu shahaadadu runtii sheegato, ka dib hubi taariikhaha ansaxnimada iyo silsiladda soo-saarka.

CA gaar ah oo macmiilku aanu aaminin wuxuu soo saaraa isla fasalka khaladka ah ee shahaado dhacday, sidaas oo kale saacad saacado khaldan. Wicitaanka cinwaanka cayriin wuxuu abuuraa ismaandhaaf cusub, sababtoo ah shahaadadu waxay sheegataa magacyo ma aha cinwaanno. Isticmaalka la maareeyo, ka hel qaabeynta kalsoonida loogu talagalay maamulaha, halkii aad aqbali lahayd xidid beddel ah oo bog khalad ah soo bandhigo. Xaqiijintu way shidnaanaysaa inta aad hagaajinayso sababta.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Hayso marxaladda TLS ee guulaystay iyada oo aan la taaban karin marka ay gudubto, sababtoo ah dib u noqosho dambe waxay qarinaysaa isbeddelka runtii tunnelka hagaajiyay.

Halka labada ay isku qasmaan

Labada guuldarro waxay u muuqdaan xiriir aan kacayn, labadana waxay yimaadaan ka dib marka isticmaalahu beddelo wax aan xiriir la lahayn. Isku-dhacdaas ayaa hagaajinta khaldan ka dhigaya mid macquul u muuqda muddo.

Laba caado ayaa kala haysta. Qor diiwaanka macmiilka ka hor inta aanad taaban qaabeynta, si xaaladda koowaad loo ilaaliyo. Beddel hal lakab kasta oo isku day, si natiijada xigta ay ka tirsanaato doorsoome la yaqaan. Hubiyaha dekedda iyo biraawsarku waa indha-indheyn qayb ah ee ma aha isku xigxiga buuxa, oo midkoodna ma beddelo warbixinta macmiilka laftiisa. Labada caado midkoodna wax ma qaadato, labadana waxay gaabiyaan baaritaanka.

Su'aasha shahaadda iyo su'aasha gaaritaanku si gooni ah ayaa loo diiwaangeliyay sabab awgeed.

Dib u tijaabi macmiilka dhabta ah, ka dib u gudub gudaha

Marka hagaajinta gaar ah meesha ku taal, dib u isku day macmiilka SSTP dhabta ah iyo borofaylka dhabta ah, ma aha tab biraawsar.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Haddii fadhigu xirmo oo kheyraadku wali guuldareysto, tunnelku mar dambe ma aha tuhmanaha: u gudub jiheynta, DNS iyo gelitaanka adeegyada. Taasi waa baaritaan kale oo caddayn kale leh. Haynta marxaladaha TLS iyo xaqiijinta ee shaqeeya waxay ka hortagtaa inay noqoto ku-celin tan koowaad. Ku qor tikitka marxaladda guuldareystay, haddii kale qofka xiga wuxuu mar kale ka bilaabayaa sare.