SSTP gba ebute 443: idi ti Apache ko fi bẹrẹ

Apache dẹkun idahun lori 443 ni ọsan yẹn ti ẹnikan ba tan awọn asopọ VPN ti n wọle, ati akọsilẹ aṣiṣe rẹ n da bind lẹbi dipo ifiṣura ti o wa lẹhin rẹ. Windows Routing and Remote Access n tan SSTP ni akoko yẹn, ati olugbọ SSTP n beere TCP 443 nipasẹ HTTP stack ṣaaju ki alabara kankan to jẹri. Ibeere naa wa ni ipa paapaa nigbati ijẹrisi ko si, orukọ jẹ aṣiṣe tabi gbogbo handshake ni a kọ, nitorinaa VPN ti ẹnikẹni ko le wọ ninu rẹ tun wa lori ebute naa. Ka tabili igbọran ni akọkọ; PID ti o ni 443 ni o pinnu eyi wo ninu awọn atunṣe ni isalẹ ti o ṣii fun ọ.

Ifiṣura naa ye ijẹrisi ti o bajẹ

SSTP n fi PPP pamọ sinu igba TLS, nitorinaa o nilo 443 ati nitorinaa o gba awọn proxy ti o sọ awọn tunnel miiran nu. Olugbọ kii ṣe socket ti iṣẹ VPN ṣii fun ara rẹ: SstpSvc n forukọsilẹ rẹ pẹlu awakọ HTTP ti kernel, nitorinaa ebute naa wa ni ipamọ niwọn igba ti iṣẹ naa ba n ṣiṣẹ. Iforukọsilẹ yẹn ko beere lọwọ ijẹrisi rara, eyi ti o tumọ si pe orukọ ti pari, subject ti ko baamu tabi ko si ijẹrisi rara yoo fi 443 silẹ ni gbigba. Lẹhinna awọn ikuna pin si awọn ọna meji: awọn handshake ti a kọ yoo wọ akọsilẹ System labẹ RasSstp, nigbati olupin web le sọ nikan pe ko le bind.

netstat -aon | findstr :443
tasklist /svc /fi "PID eq <pid>"

Laini akọkọ da PID oniwun pada; ekeji dárúkọ iṣẹ ti o wa lẹhin rẹ, ati idahun maa n jẹ iṣẹ HTTP tabi stack RRAS. Nigbati tasklist ba fi ilana olupin pin dahun, ka ọwọn iṣẹ dipo ki o ṣe akiyesi lati orukọ ilana naa.

Awọn ikilọ RasSstp tọ lati ka lẹhin eyi nikan, nitori wọn ṣe apejuwe handshake ti o kuna ati pe wọn ko sọ nkankan nipa ifiṣura ti o fa ikọlura naa. Ipari VPN ti o kọ gbogbo alabara tun ni ebute naa. Ka akọsilẹ naa bi ibeere keji, kii ṣe akọkọ.

IIS n pin awakọ, Apache n ṣii socket

IIS n fi awọn bindings rẹ fun awakọ kernel kanna ti SSTP n lo, awakọ yẹn si n pin awọn asopọ ti n wọle nipasẹ orukọ olupin ati ipilẹ URL, nitorinaa awọn iṣẹ mejeeji le sọ pe wọn fẹ 443 lai jẹ ki ọkan ninu wọn kuna. Apache ati nginx n ṣe idakeji: wọn pe bind lori socket tiwọn, ati pe ẹrọ ṣiṣe kọ nitori a ti gba adirẹsi naa tẹlẹ. Ko si nkankan ti ko tọ ninu boya ipẹtẹ; iyatọ wa ninu API wo ni o ni ebute naa. Idi yẹn ni titan VPN fi n wo aaye kan lulẹ lori olupin kan ti o si fi aaye kanna silẹ laini lori olupin miiran.

Aiṣedeede yii pinnu irisi atunṣe naa. Ti IIS ba ti jẹ ẹnu-ọna iwaju, ikọlura naa di ibeere nipa awọn ipilẹ, bindings ati awọn ijẹrisi. Ti Apache ba jẹ ẹnu-ọna iwaju, boya o lọ kuro ni 443 tabi olugbọ SSTP lọ, apakan ti o tẹle si bo awọn igbesẹ mejeeji.

Yan iṣẹ wo ni yoo tọju 443

Ebute olugbọ wa ninu iye forukọsilẹ kan, DWORD eleemewa labẹ bọtini awọn paramita ti Sstpsvc. Yi iye pada, tun bẹrẹ Routing and Remote Access, ki o si jẹri lati tabili igbọran pe ebute atijọ ti di ofo.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Sstpsvc\Parameters" /v ListenerPort /t REG_DWORD /d 4443 /f
Restart-Service RemoteAccess

Yan ebute ti ko si nkankan miiran lori olupin fẹ, ki o tẹ ni eleemewa: reg add n tọju DWORD gangan bi a ti kọ ọ, nitorinaa iye ti a ro pe o jẹ hexadecima yoo de bi ebute miiran. Ti ibeere ba sọ pe iye ko si, laini keji n ṣẹda rẹ. Restart-Service RemoteAccess n ta gbogbo awọn ti o so pọ, eyi ti o tọ lati gbero. Lẹhinna tun ṣe ayẹwo igbọran, nitori titẹ sii atijọ lori 443 tumọ si pe iṣẹ naa ti tọju iforukọsilẹ atijọ rẹ.

Gbigbe olugbọ ni iye ti iyipada forukọsilẹ ko fi han. Awọn alabara SSTP lasan n pe 443, nitorinaa gbogbo profaili alabara nilo ebute tuntun, ati pe ṣiṣan naa dẹkun lati dabi ibeere web fun ohunkohun ti o ba yẹwo ipa-ọna naa. Lori nẹtiwọki ti o farada trafiki ti o dabi HTTPS nikan, iyẹn yọ pupọ julọ idi ti a fi yan SSTP kuro. Olugbe alabara kekere ti a n ṣakoso n gba eyi; ipilẹ olumulo gbangba tabi BYOD ko gba.

Igbesẹ miiran n tọju 443 pẹlu IIS ati pe o ka Apache si backend ti proxy n gbe lọ. O tọju aiyipada SSTP ati fi oniwun kan silẹ fun ebute naa, ni iye awọn akọle ti a gbe lọ, adirẹsi alabara ti app ko ni rí taara mọ, ati backend ti o gbọdọ sọ ilana ti proxy n fi ranṣẹ gangan.

Fi oniwun, ijẹrisi ati handshake han ni ilana

Asopọ TCP ti o pari n fi han pe olugbọ wa ati pe ko si nkankan miiran, nitorinaa ọlọjẹ ebute le dabi ilera nigba ti tunnel naa ṣi n kuna. Awọn ipele mẹrin n kuna ni awọn ọna oriṣiriṣi, atunṣe ti o dojukọ ipele ti iwọ ko fọ maa n jinlẹ ikọlura naa. Ṣiṣẹ lori wọn ni ilana ki o si duro nibiti idahun naa ti pinya.

netstat -aon | findstr :443
certutil -store My
Get-WinEvent -LogName System -ProviderName RasSstp -MaxEvents 20

Laini akọkọ dárúkọ PID ti o di 443 mu, ati pe o yẹ ki o jẹ iṣẹ ti o ṣẹṣẹ ṣeto. Ekeji ṣe atokọ awọn ijẹrisi ẹrọ pẹlu awọn subjects wọn, nitorinaa orukọ ti ko baamu adirẹsi ninu profaili alabara yoo han lojukanna. Ibeere iṣẹlẹ n da awọn igbasilẹ SSTP aipẹ pada, ati handshake ti ko de ijẹrisi PPP rara n fi igbasilẹ ti o yatọ silẹ ju eyi ti a jẹri ti a si kọ lẹhinna. Ipele ikẹhin han nikan lori alabara, nibiti titẹ sii ti sọ pe o so tabi dárúkọ aṣiṣe PPP.

Nigbati olupin kan ba ni lati ṣe awọn iṣẹ mejeeji, yan oniwun 443 pẹlu ipinnu ki o si kọ yiyan naa silẹ, nitori bibẹẹkọ ẹni ti o tẹle ti o ba tan ẹya kan yoo tun ṣe awari ikọlura yii. Pipin awọn ipa si wa ni idahun ti o mọ julọ: olupin web gbangba ati ipari iwọle latọna jijin n gbe awọn akoko patch, ijẹrisi ati atunbẹrẹ lọtọ, awọn akoko wọn si n pade ni ibamu si iṣeto wọn. Ni eyikeyi ọna, fi ayẹwo igbọran, ipa-ọna forukọsilẹ ati ebute ti a yan silẹ ninu akọsilẹ ifilọlẹ.