Muda wa SSTP kuisha au hitilafu ya cheti: jinsi ya kuzitofautisha

Muunganisho wa SSTP hushindwa kwa njia mbili zinazofanana kutoka kwenye kiti cha mtumiaji, na matengenezo ya kila moja yako kwenye tabaka tofauti. Muda kuisha humaanisha kwamba mabadilishano yaliyohitajika hayakukamilika kamwe; hitilafu ya cheti humaanisha kwamba nyenzo za utambulisho zilifika na zilikataliwa. Kuchukua la pili kama la kwanza kunakupeleka kwenye ngome za moto na manenosiri ambayo hayakuwa tatizo kamwe. Ushahidi unaotofautisha uko kwenye kumbukumbu ya mteja mwenyewe, ikiwa utaisoma kabla ya kubadilisha kitu chochote.

Mishtuko miwili, mabadilishano mawili tofauti

SSTP hubeba handaki ndani ya kipindi chenye umbo la HTTPS, ndiyo sababu hustahimili mitandao isiyoruhusu chochote isipokuwa 443. Mteja hukamilisha usalimiano wa TLS, hutuma ombi la HTTP kwa mbinu maalum ya itifaki, kisha handaki huendesha ndani ya mtiririko huo. Kushindwa kwa hatua yoyote ya hizo huacha muunganisho, na ni hatua za baadaye tu zinazohusisha vitambulisho.

Mpangilio huo ndio utambuzi. Ikiwa usalimiano wa TLS hautakamilika kamwe, hakuna kitambulisho kilichotumwa, kwa hiyo kuweka upya nenosiri hakuwezi kusaidia. Ikiwa usalimiano unakamilika kisha kukwama, utambulisho ulikubaliwa na kitu kwenye njia ya ombi uliukataa. Ikiwa usalimiano unashindwa kwa ujumbe wa uthibitishaji, seva ilijibu na mteja hakupenda alichosikia. Matokeo matatu, tabaka tatu.

Mstari wa kumbukumbu kwa kawaida husema uko kwenye ipi kati ya tatu, kwa hiyo inafaa kuinakili kabla ya mabadiliko ya kwanza.

Muda kuisha humaanisha hatua haikukamilika kamwe

Anza na utatuzi wa majina na ufikivu wa TCP, kwa sababu muda kuisha hapo huonekana sawa na muda kuisha baadaye. Kikagua bandari kinachoripoti 443 wazi huthibitisha tu kwamba msikilizaji alikubali muunganisho, na hakuna zaidi ya hapo.

Mtuhumiwa anayefuata ni njia na sio mwenyeji. Proksi na ngome za moto zinazofahamu programu wakati mwingine hukataa mbinu ya ombi ambayo SSTP hutumia, au huzindua mtiririko unaobaki wazi kwa masaa, na tabia zote mbili zinaonekana kama muda kuisha kwa upande wa mteja. Ukurasa wa kawaida wa HTTPS unaotolewa na mwenyeji huyo hupakiwa kikamilifu wakati mbinu ya handaki inakataliwa, kwa hiyo kuvinjari hadi mwisho wa njia huthibitisha kidogo sana. Jaribu kutoka mtandao usio na proksi ili kutenganisha hali hizo mbili.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Muda kuisha kabla ya jibu lolote la mwenzake hausemi chochote kuhusu akaunti, na kubadilisha nenosiri wakati huo kunaongeza kigezo kimoja tu.

Hitilafu ya cheti humaanisha utambulisho ulikataliwa

Hapa seva ilijibu kweli, kwa hiyo mtandao unafanya kazi na swali huhamia kwenye utambulisho. Linganisha jina ambalo mteja hupiga na majina ambayo cheti hukiri kweli, kisha angalia tarehe za uhalali na mnyororo wa mtoaji.

CA ya kibinafsi ambayo mteja haiamini hutoa daraja lile lile la hitilafu kama cheti kilichoisha muda, na vivyo hivyo saa inayokosea kwa masaa. Kupiga anwani mbichi huunda kutokubaliana mpya, kwa sababu cheti hukiri majina na sio anwani. Katika usambazaji unaosimamiwa, pata usanidi uliokusudiwa wa uaminifu kutoka kwa msimamizi wake badala ya kukubali mzizi mbadala unaotolewa na ukurasa wa hitilafu. Uthibitishaji unabaki umewashwa wakati unatengeneza sababu.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Acha hatua ya TLS iliyofanikiwa ikiwa sawa baada ya kupita, kwa sababu kuirejesha baadaye huficha mabadiliko gani yalitengeneza handaki kweli.

Ambapo hizo mbili huchanganywa

Mishtuko yote miwili huonekana kama muunganisho usiopanda, na yote huja baada ya mtumiaji kubadilisha kitu kisichohusiana. Bahati mbaya hiyo ndiyo hufanya matengenezo yasiyofaa yaonekane ya kueleweka kwa muda.

Tabia mbili huzitenganisha. Nakili kumbukumbu ya mteja kabla ya kugusa usanidi, ili hali ya kwanza ihifadhiwe. Badilisha tabaka moja kwa kila jaribio, ili matokeo yafuatayo yawe ya kigezo kinachojulikana. Kikagua bandari na kivinjari ni uchunguzi wa sehemu na sio mfuatano kamili, na hakuna kimoja kinachobadilisha ripoti ya mteja mwenyewe. Hakuna tabia inayogharimu chochote, na zote mbili hufupisha uchunguzi.

Swali la cheti na swali la ufikivu zimeandikwa kwa kutenganishwa kwa sababu.

Jaribu tena na mteja halisi, kisha songa kuelekea ndani

Baada ya marekebisho mahususi kuwa mahali pake, jaribu tena na mteja halisi wa SSTP na wasifu wa kweli, sio kwa kichupo cha kivinjari.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Ikiwa kipindi kinaunganishwa na rasilimali bado zinashindwa, handaki si mtuhumiwa tena: songa kwenye uelekezaji, DNS na ufikiaji wa huduma. Hiyo ni uchunguzi mwingine wenye ushahidi mwingine. Kuhifadhi hatua za TLS na uthibitishaji zinazofanya kazi huzuia usiwe marudio ya ile ya kwanza. Andika kwenye tikiti hatua iliyoshindwa, vinginevyo mtu anayefuata ataanza tena kutoka juu.