Ipinaliwanag ang mga layer ng SSTP: ano pa ang inihahayag ng panloob na packet

Sa karamihan ng paliwanag, dalawang katotohanan tungkol sa SSTP ang nagsasama, at ang pagsasamang iyon ang gumagawa ng mga capture na nakakalito. Nananatili ang packet ng application sa loob ng protektadong channel, at ang koneksyon ng TCP na nagdadala ng channel na iyon ay nagpapanatili ng sarili nitong mga address sa buong landas. Ang dumadaan sa kawad ay isang tagapagdala kasama ang kargada nito, hindi kailanman kapalit ng alinman sa dalawa. Lakarin ang stack mula labas papasok at lagyan ng label ang bawat hangganang tinatawid mo.

Magsimula sa panlabas na tagapagdala

Ang unang nasa kawad ay isang ordinaryong koneksyon ng TCP patungo sa port 443, may tunay na mga address na ipinapasa ng mga router. Ang koneksyong iyon ang nakakaligtas sa pagsasalin ng mga address ng network at ito ang mabibilang ng isang tagapagbigay ng access. Ang pagprotekta sa kargada ay hindi nag-aalis ng tagapagdala, at hindi nito itinatago ang dami o oras.

Lahat ng sumusunod sa puntong ito ay dinadala sa halip na iruruta. Patuloy na gumagana ang tagapagdala kahit nabigo ang panloob na palitan.

Sundan ang encapsulation papasok

Sa loob ng protektadong channel ay may palitan ng kontrol ng SSTP, pagkatapos ay isang sesyon ng PPP, pagkatapos ay ang packet ng network na nais ipahatid ng kliyente. Bawat layer ay may sariling negosasyon, sariling mga mensahe ng error at sariling state machine. Kaya ang isang sira ay maaaring magmukhang sira ng TLS mula sa isang anggulo at sira ng PPP mula sa iba. Ang pagbasa ng mga layer nang sunod-sunod ay nagsasabi kung aling state machine ang huminto.

Bihirang ipakita ng isang capture ang buong stack. Ang mga panlabas na header ay nakikita lamang sa labas ng endpoint, at ang mga panloob ay pagkatapos ng decapsulation. Ang kawalan ng simetrya ay nagmumula sa kinatatayuan mo, hindi sa protocol.

Ang diagram sa ibaba ay naggugrupo ng mga layer upang mapag-usapan man lamang sila. Hindi ito ayos ng byte, hindi ito nangangako ng isang rekord kada packet, at wala itong sinasabi tungkol sa kung ilang operasyong cryptographic ang ginagawa ng isang implementasyon.

outer IP header
  TCP to port 443
    TLS record layer
      SSTP control and data packets
        PPP frames
          inner IP packet
            application transport and payload

Lagyan ng label ang tagamasid bago magbasa ng capture

Dalawang capture ng isang sesyon ang sumasagot sa magkaibang tanong, at ang interface kung saan kinuha ang mga ito ang nagtatakda kung alin. Sa daanan ng access, nakikita mo ang tagapagdala at ang mga rekord ng TLS, at masusukat mo ang laki at pagitan nang hindi nakikita ang panloob na address. Sa endpoint, pagkatapos ng decapsulation, ang panloob na packet ay ordinaryong trapiko sa ilalim ng pribadong patakaran ng pagpapasa.

Isulat ang interface at direksyon sa bawat capture bago ito bigyang-kahulugan. Ang bakas mula sa pisikal na adapter ay hindi kailanman magpapakita ng mga address ng panloob na application bilang ordinaryong panlabas na field, at ang pagbasa sa kawalan ng mga ito bilang kabiguan ng encryption ay karaniwang pagkakamali. Ang bakas mula sa loob ng tunnel ay walang ipinapakitang tagapagdala, kaya hindi ito makasasagot sa tanong tungkol sa pananaw ng tagapagbigay. Ang parehong disiplina ay nalalapat sa mga log ng endpoint, na nagtatala ng pagkakasunod-sunod ng negosasyon at hindi ng nilalaman.

Panatilihin ang mga pagsusuring hindi kayang patunayan ng diagram

Ang pagkakasunod-sunod ng layer ay hindi nagpapatunay na ang isang deployment ay nagbeberipika ng sertipiko ng server, nakikipagnegosasyon sa sinusuportahang bersyon ng TLS o nagbibigay ng pahintulot sa account. Ang bawat isa sa mga ito ay desisyon sa configuration na nabibigo nang malaya sa encapsulation.

Beripikahin ang mga ito sa isang kliyenteng nag-uulat kung ano ang naipagkasundo nito sa halip na manghula mula sa guhit. Magsimula sa pakikipagkamay ng TLS, pagkatapos ang palitan ng SSTP, pagkatapos ang PPP, at huminto sa unang yugto na nag-uulat ng error. Ang unang utos ay naglilimbag ng kadena at ng naipagkasundong bersyon, at ang pangalawa ay naglilista ng mga pakikipagkamay na nasa isang capture.

openssl s_client -connect vpn.corp.internal:443 -servername vpn.corp.internal
tshark -r sstp.pcap -Y "tls.handshake.type == 1"