SSTP lẹ́yìn aṣojú tí ń ṣàyẹ̀wò TLS: ibi tí ìpàdé dópin

Aṣàwákiri rẹ ń gbé intranet ilé-iṣẹ́, ìwé-ẹ̀rí aṣojú jẹ́ ìgbẹ́kẹ̀lé, síbẹ̀ SSTP kọ̀ǹpútà ń jábọ́ nítòsí òpin ìsopọ̀. Àpẹẹrẹ yìí ń tọ́ka sí ìyàtọ̀ láàrin ìbéèrè wẹ́ẹ̀bù àti ìpàdé inú ọ̀nà, kì í ṣe ọ̀rọ̀-ìkọ̀kọ̀ tí kò tọ́. Rìn ìsopọ̀ láti TCP lọ sókè kí o sì ṣàkọsílẹ̀ ìpele àkọ́kọ́ tí ó kùnà. Ìpele náà, kì í ṣe kóòdù àṣìṣe, ni ó sọ fún ọ bóyá aṣojú náà ni ó fa.

Bẹ̀rẹ̀ níbi tí kọ̀ǹpútà náà ti dúró

Kọ̀ǹpútà náà ń gba ìtẹ̀síkan tí ó dúró ṣinṣin: ìsopọ̀ TCP sí ibùdó 443, ìfọwọ́sowọ́pọ̀ TLS, ìjẹ́rìí ìwé-ẹ̀rí, ìpààrọ̀ HTTP ti SSTP, ìdúnàádúrà àti ìjẹ́rìí PPP, lẹ́yìn náà ìṣètò IP. Ìkùnà ní ìpele kọ̀ọ̀kan ń fi àmì ọ̀tọ̀ọ̀tọ̀ sílẹ̀, àti dídà wọ́n pọ̀ ń mú ọ lọ sí ojú-ìwé ìṣètò tí kò tọ́.

Ìkùnà TCP ni àkókò tí ó tán tàbí àtúnṣe kí a tó rí báìtì TLS kankan. Ìkùnà TLS ni ìkìlọ̀ tàbí àkókò ìfọwọ́sowọ́pọ̀ tí ó tán. Ìkùnà ìwé-ẹ̀rí ń mú ìkìlọ̀ jáde nípa ẹ̀wọ̀n tàbí orúkọ. Ìkùnà HTTP ń dé lẹ́yìn ìfọwọ́sowọ́pọ̀ aṣeyọrí, ní ọ̀pọ̀ ìgbà gẹ́gẹ́ bí kóòdù ipò tàbí ìdádúró lẹ́sẹ̀kẹsẹ̀. Ìkùnà PPP ń dé lẹ́yìn tí a ti ṣe ọ̀nà náà ní ìmọ̀-ẹ̀rọ, ìdí nìyẹn tí ó fi dàbí ìṣòro ìjẹ́rìí.

Ka àkọsílẹ̀ kọ̀ǹpútà fún ìpele aṣeyọrí tí ó kẹ́yìn dípò ìlà àṣìṣe àkọ́kọ́. Ìlà àṣìṣe máa ń sọ àbájáde, nígbà tí ààlà ìpele ń dárúkọ ẹ̀yà tí ó kọ̀.

Ohun tí SSTP ń béèrè lọ́wọ́ nẹ́tíwọ́kì kí ó gbé

SSTP ń ṣiṣẹ́ lórí TLS ní TCP 443, lẹ́yìn náà ó fi ìbéèrè HTTP kan tí a ń pè ní SSTP_DUPLEX_POST, tí a ṣàlàyé nínú ìlànà SSTP, ránṣẹ́ sí ọ̀nà tí ó ní ìrísí /sra_{GUID}/. Ìbéèrè náà ń kéde gígùn àkóónú tí kò ní ààlà ní ti gidi, ó sì ń pa ṣíṣàn náà mọ́ ní ṣíṣí ní ẹ̀gbẹ́ méjèèjì fún gbogbo ìgbésí ayé ìpàdé náà. Àwọn férémù PPP ń rin ìrìn nínú ṣíṣàn yẹn.

Ìdí nìyẹn tí aṣojú tí ń bójú tó ìwákiri lasan lè kùnà síbẹ̀. GET tàbí POST pẹ̀lú ara tí ó ní òpin ni a lè kó sínú bọ́ọ̀fù, ṣàyẹ̀wò kí a sì fi ránṣẹ́; ṣíṣàn alápọ̀mẹ́jì pẹ̀lú ara tí kò ní dópin ni a kò lè. Aṣojú tí ń dúró de kí ara náà parí ń dúró títí láé, kọ̀ǹpútà náà sì ń kùnà ní àkókò nígbẹ̀yìn.

Àlẹ̀mọ́ ọ̀nà àti ìjẹ́rìí ń fi àwọn ọ̀nà ìkùnà wọn kún. Tí aṣojú bá béèrè àwọn ẹ̀rí ìdánimọ̀ fún ìbéèrè náà, kọ̀ǹpútà VPN lè má dáhùn bí ó tilẹ̀ jẹ́ pé aṣàwákiri yóò dáhùn. Tí ó bá yọ ọ̀nà náà kúrò tàbí kí ó kọ ọ́ lẹ́ẹ̀kan sí, ẹnubodè náà kọ̀ ìbéèrè náà kí PPP tó bẹ̀rẹ̀.

Ìdí tí àyẹ̀wò fi ń yí ìdánimọ̀ padà

Aṣojú tí ń ṣàyẹ̀wò TLS ń parí ìsopọ̀ TLS ti kọ̀ǹpútà, ó sì ń ṣí ìsopọ̀ ọ̀tọ̀ sí ẹnubodè náà. Nítorí náà kọ̀ǹpútà ń jẹ́rìí ìwé-ẹ̀rí aṣojú, kì í ṣe ti ẹnubodè, ẹnubodè sì ń wo aṣojú gẹ́gẹ́ bí alábàákẹ́gbẹ́ rẹ̀. Nígbà tí ilé-iṣẹ́ bá pín gbòǹgbò tirẹ̀, aṣàwákiri àti kọ̀ǹpútà VPN lè gba ẹ̀wọ̀n yẹn, nítorí náà ìfọwọ́sowọ́pọ̀ ń ṣàṣeyọrí, ìṣòro náà sì ń lọ sí ìpele tí ó tẹ̀lé.

Ìjẹ́rìí aṣeyọrí kò túmọ̀ sí pé aṣojú lè gbé ìpàdé náà. Ó ṣì gbọdọ̀ gbé POST alápọ̀mẹ́jì tí kò ní ààlà kọjá láì kó sínú bọ́ọ̀fù, kí ó sì pa ìsopọ̀ méjèèjì mọ́ ní ààyè fún wákàtí púpọ̀. Ọ̀pọ̀ ọjà àyẹ̀wò ni a kọ́ fún ìrìn àwọn ìbéèrè-ìdáhùn, wọ́n sì ń kojú ipò yìí ní ìkùnà tàbí wọn kò kojú rẹ̀ rárá.

Ìdí nìyẹn tí fífi gbòǹgbò àìmọ̀ kún tàbí títan ìjẹ́rìí pà fí ìtúnṣe tí kò tọ́. Ó ń yí ìwé-ẹ̀rí tí kọ̀ǹpútà ń gbà padà; kò ṣe ohunkóhun nípa ìtọ́jú ṣíṣàn tí ó fọ́ ìpàdé náà ní ti gidi.

Dá olùgbéjáde mọ̀ kí o tó yí àwọn ètò padà

Bèèrè lọ́wọ́ ibi-ìparí irú ìwé-ẹ̀rí tí ó ń gbékalẹ̀ àti ẹni tí ó fọwọ́ sí i. Àwọn àṣẹ tí ó wà nísàlẹ̀ ń fi ẹ̀wọ̀n àti olùgbéjáde hàn láì bẹ̀rẹ̀ ìpàdé VPN:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

Tí olùgbéjáde bá jẹ́ CA gbogbo ènìyàn, ìsopọ̀ fún ẹ̀rọ yìí kò ṣeé ṣe kí a dá a dúró, àti ìkùnà wà níbòmíran. Tí olùgbéjáde bá jẹ́ CA ti ilé-iṣẹ́ fúnra rẹ̀, àyẹ̀wò ń ṣiṣẹ́, a sì ń dé ẹnubodè nípasẹ̀ aṣojú. Fi àmì ìka wé èyí tí ẹgbẹ́ nẹ́tíwọ́kì ń retí kí o tó parí lórí orúkọ nìkan.

Ìdánwò aṣàwákiri sí ẹ̀rọ kan náà ń jẹ́rìí kìkì pé aṣojú gba GET. Kò sọ ohunkóhun nípa ọ̀nà SSTP, URI ìbéèrè tàbí ìgbésí ara, nítorí náà má ṣe ka ojú-ìwé intranet tí ń ṣiṣẹ́ gẹ́gẹ́ bí ẹ̀rí pé a ti ṣe àtìlẹ́yìn fún ọ̀nà ọ̀nà náà.

Yan ọ̀nà tí a ti ṣe àtìlẹ́yìn fún

Bèèrè ìbéèrè kan pàtó lọ́wọ́ ẹni tí ó ni nẹ́tíwọ́kì: ṣé aṣojú náà gbà POST alápọ̀mẹ́jì tí a kò kó sínú bọ́ọ̀fù sí ẹnubodè yìí ní ibùdó 443? Bẹ́ẹ̀ ni ń yọrí sí ìyọkúrò nínú aṣojú tàbí ọ̀nà àyípajá tí a kọ sílẹ̀ fún ẹ̀rọ VPN. Bẹ́ẹ̀ kọ́ túmọ̀ sí pé ọ̀nà tí a ṣàyẹ̀wò kò lè gbé SSTP, ìtúnṣe tí a ti ṣe àtìlẹ́yìn fún sì jẹ́ ọ̀nà tàbí ìlànà mìíràn, kì í ṣe àtúnṣe kọ̀ǹpútà.

Àwọn àṣàyàn máa ń ní jáde tí a kò ṣàyẹ̀wò fún ẹnubodè VPN, àpẹẹrẹ ọ̀nà-ọ̀nà tí ó pín tí ń fi ìrìn ilé-iṣẹ́ nìkan ránṣẹ́ nípasẹ̀ aṣojú, tàbí ìlànà mìíràn tí ilé-iṣẹ́ ń ṣe àtìlẹ́yìn fún ní ibùdó mìíràn. Ọ̀kọ̀ọ̀kan jẹ́ apá kan àpẹẹrẹ nẹ́tíwọ́kì, a sì gbọdọ̀ dán ọ̀kọ̀ọ̀kan wò pẹ̀lú ẹ̀rọ àti profáìlì kan náà kí ìfiwéra lè ya ọ̀nà náà sọ́tọ̀.

Ṣàkọsílẹ̀ àbájáde: olùgbéjáde, ìpele ìkùnà, ìlànà aṣojú àti ọ̀nà tí a yàn. Ẹni tí ó tẹ̀lé yóò rí ìdúró 98 nínú ọgọ́rùn náà kan náà, yóò sì lè ṣàyẹ̀wò òtítọ́ kan dípò kí ó tún gbogbo ìrìn náà ṣe.