Ang SSTP ay PPP sa ibabaw ng HTTPS, hindi isang web page sa port 443

SSTP nagdadala ng PPP sa loob ng koneksyong HTTPS, kaya mukha itong trapikong web sa anumang nasa gitna. Itinatag ng TLS at HTTP ang panlabas na channel, pagkatapos inihahanda ng mga control message ng SSTP ang tunnel, at ang PPP ang nagbibigay ng pag-uugali ng session. Isang browser na naglo-load ng page sa parehong address ay natapos lamang ang bahagi ng unang yugto. Ang ituring iyon na pagsusuri ng VPN ay ang paraan kung paano napagbibintangan ang gumaganang proxy sa hindi pagtutugma ng protocol.

Lakarin ang apat na yugto nang sunod-sunod, at ang pagkabigo na nakikita mo ay mahuhulog sa isa sa kanila.

Yugto 1: TCP at TLS

Binubuksan ng client ang koneksyong TCP patungo sa port 443 at nagsasagawa ng handshake ng TLS. Dapat tumugma ang kadena ng sertipiko sa hostname kung saan na-configure ang client. Ang hindi pagtutugma ng pangalan dito ay lumilikha ng pagkabigo bago pa magpalitan ng anumang mensaheng SSTP, at ang espesipikasyon ng SSTP ay ipinapalagay na umiiral na ang panlabas na channel na HTTPS na ito. Wala sa mga susunod na yugto ang makakabawi sa pagkabigo ng tiwala dito.

Ang karaniwang web server ay maaaring tapusin ito nang perpekto at mabigo pa rin sa susunod. Ang tagumpay ng TLS ay ebidensya tungkol sa sertipiko, hindi tungkol sa protocol sa likod nito.

Yugto 2: ang kahilingang HTTPS

Ginagawa ng SSTP ang kahilingan nito gamit ang partikular na method, SSTP_DUPLEX_POST, at pinananatiling bukas ang palitan sa halip na magbalik ng dokumento. Ang server o proxy na naka-configure para sa karaniwang kahilingan ng page ay maaaring tanggapin ang koneksyon at pagkatapos ay tanggihan ang method. Ang pagtanggi na iyon ang problema sa pagiging compatible na karaniwang inilalarawan ng mga tao na naka-block ang port 443.

Basahin ang response code at ang method sa log ng server. Ang pagtanggi sa yugtong ito ay ibang problema kaysa sa timeout ng TCP, at ang dalawa ay humahantong sa magkaibang pag-aayos.

Yugto 3: mga control message

Kapag tinanggap ang kahilingan, nagpapalitan ang SSTP ng mga control message na nakikipag-usap at naghahanda ng tunnel. Ito ay mga mensaheng protocol sa loob ng katawan ng HTTPS, hindi mga kahilingang HTTP, kaya ang proxy na nagsusuri at nagre-rewrite ng katawan ay maaaring makasira sa kanila habang ang mga kahilingan ng page ay nananatiling hindi nagalaw.

Dito nakakamit ng middlebox ng malalim na inspeksyon ang reputasyon nito. Kung naglo-load ang mga page pero nabigo ang VPN, tingnan kung binabago ang katawan sa halip na kung bukas ang port.

Yugto 4: kinukuha ng PPP

Pagkatapos ay ibinibigay ng PPP ang pag-uugali ng session: negosasyon ng link, pagpapatunay at ang configuration ng network layer na kasunod. Ang pagpapatunay ng PPP ay hiwalay sa pagsusuri ng TLS na naipasa na ng client. Ang sertipiko ng server na tinatanggap ng client ay walang sinasabi tungkol sa kung wasto ang mga kredensyal ng user o awtorisado ang account.

Ang tinanggap na sertipiko at tinanggihang pag-login ay hindi magkasalungat. Ito ay magkakasunod na yugto na may malayang resulta.

Ang pagpapatunay ay may ilang papel

Binibigyang-katwiran ng client ang pagkakakilanlan ng server ng TLS laban sa tindahan ng tiwala at sa naka-configure na pangalan. Pagkatapos ay pinatutunayan ng PPP ang user o ang makina, depende sa deployment. Maaaring magdagdag ang server ng sarili nitong patakaran tungkol sa kung sino ang makakakonekta at ano ang maaabot. Panatilihing pare-pareho ang hostname sa pagkakakilanlan ng sertipiko, dahil ang pagpapalit nito ng raw address ay ginagawang pagkabigo sa pagsusuri ng pangalan ang gumaganang setup.

Isulat kung aling yugto ang nag-ulat ng pagkabigo. Sertipiko, method, control message, pagpapatunay ng PPP, pagkatapos ay mga ruta: limang lugar, limang pag-aayos.

Ano ang maaari at hindi maaaring ipakita ng pagsusuri sa browser

Ang paglo-load ng page sa address ay nagpapatunay ng resolusyon ng DNS, maabot ng TCP at may isang bagay na nakikinig at nagsasalita ng HTTP. Hindi nito pinatutunayan na tinatanggap ang method, nabubuhay ang palitan ng control o naka-configure ang pagpapatunay ng PPP. Gumamit ng client na nagpapatupad ng SSTP sa halip na i-convert ang ibang profile sa pamamagitan ng pagbabago ng port.

Kapag umangat ang session, ang mga ruta, DNS at pagpapasa sa panig ng server ang humuhusga pa rin sa kung ano ang maaabot ng user. Ang tunnel ay isang landas, hindi isang pahintulot.