SSTP kuna nibiti HTTPS ti ẹrọ aṣàwákiri ṣàṣeyọrí: kí ni ìdí
SSTP ń ṣiṣẹ́ nínú TLS lórí ibudo 443, ṣùgbọ́n kì í ṣe ìbéèrè wẹ́ẹ̀bù. Dán TCP, ìdánimọ̀ TLS, ìpààrọ̀ SSTP àti ìjẹ́rìí PPP wò gẹ́gẹ́ bí àwọn ìpele ọ̀tọ̀ọ̀tọ̀.
Ẹrọ aṣàwákiri ṣí orúkọ agbàlejò VPN lórí HTTPS láìsí ẹ̀dùn ọkàn, ṣùgbọ́n SSTP ẹ̀rọ ìbáṣepọ̀ kọ̀ láti so mọ́. Kò sí ohun tí ó ta ko ara wọn nínú pẹ̀lú yìí. SSTP ń lo TLS gẹ́gẹ́ bí ọ̀nà gbígbé ìta, lẹ́yìn náà ó ń ṣe ìbéèrè tirẹ̀ àti ẹrù PPP nínú ìsopọ̀ yẹn, nítorí náà ìgbéyọ ojú ewé tí ó ṣàṣeyọrí ń fi kìkì ohun kan tóóró hàn: agbàlejò ń dáhùn GET lórí ibudo 443. Ẹ̀rọ ìbáṣepọ̀ ń béèrè ìbéèrè mìíràn, bóyá olùpèsè yóò dáhùn rẹ̀ búburú.
Ojú ewé ń gbé wọlé, ṣùgbọ́n ọ̀nà abẹ́lẹ̀ kò gbé wọlé
Àwọn ènìyàn ń lọ sí àyẹ̀wò ẹrọ aṣàwákiri nítorí pé ó yára, lẹ́yìn náà wọ́n ń gbà èsì náà gẹ́gẹ́ bí ẹ̀rí pé olùpèsè wà ní àárọ̀ àti pé ó ti ṣètò. Ẹ̀rí ni nípa GET sí ọ̀nà tí pẹpẹ àdírẹ́sì ṣí, kò ju bẹ́ẹ̀ lọ. Ìjíròrò VPN bẹ̀rẹ̀ lẹ́yìn ìfọwọ́sowọ́pọ̀ TLS kan náà, ṣùgbọ́n ó ń rán ìlànà àti ọ̀nà tí ojú wẹ́ẹ̀bù kò lò rí. Nítorí náà ìdáhùn 200 fún ẹrọ aṣàwákiri kò sọ ohunkóhun nípa bóyá ibi ìparí SSTP wà.
Ya àwọn àkíyèsí méjèèjì sọ́tọ̀, ìwádìí yóò kúrú. Gbígbé àti ẹ̀wọ̀n ìwé-ẹ̀rí ń ṣiṣẹ́, ṣùgbọ́n ohun kan nínú ìpààrọ̀ ìlànà lórí wọn kò ṣiṣẹ́. Ìwádìí yìí yàtọ̀ sí ibudo tí ó bàjẹ́ tàbí ìwé-ẹ̀rí tí ó ti kọjá àkókò, ó sì nílò ẹ̀rí mìíràn.
Kí ni ẹ̀rọ ìbáṣepọ̀ SSTP ń rán gan-an
Ẹ̀rọ ìbáṣepọ̀ ń rán ìbéèrè HTTP pẹ̀lú ìlànà SSTP_DUPLEX_POST sí ọ̀nà /sra_{GUID}/, lẹ́yìn náà ó ń tọ́jú ara ìsopọ̀ ṣí gẹ́gẹ́ bí ìṣàn ẹ̀gbẹ́ méjì tí ń gbé àwọn férémù PPP. Olùpèsè tí ó tẹ̀lé ń dáhùn HTTP/1.1 200, ó sì jáwọ́ hùwà bí olùpèsè wẹ́ẹ̀bù. Ohunkóhun mìíràn jẹ́ ìtẹ̀wọ́gbà: 405 tàbí 404 túmọ̀ sí ibi ìparí kò sí, 301 tàbí 302 túmọ̀ sí ohun kan ń darí ìbéèrè lọ, FIN lẹ́sẹ̀kẹsẹ̀ sì túmọ̀ sí proxy tàbí olùpèsè ti pa ìṣàn mọ́.
Ìdí nìyẹn tí ibi-àfojúsùn gbọ́dọ̀ jẹ́ olùpèsè SSTP kì í ṣe olùpèsè wẹ́ẹ̀bù tí a fi ìwé-ẹ̀rí TLS mọ́. Ìlànà, ọ̀nà àti ara tí ó pẹ́ jẹ́ àwọn ohun tí ìlànà béèrè, nítorí náà proxy ìdàkejì kò lè fi wọ́n kún pẹ̀lú ìṣètò nìkan. Proxy tí ń gbé HTTPS lasan kọjá dáadáa ṣì lè kọ̀ ìlànà tí ò mọ̀.
Níbo ni proxy tàbí olùpèsè wẹ́ẹ̀bù ń fọ́ ìṣàn
Alárinà ń yẹ̀wò ìlà ìbéèrè HTTP kí ó tó gbé ohunkóhun kọjá, ìlànà àkànṣe pẹ̀lú ọ̀nà àìṣe déédé sì lè kùnà nínú àwọn òfin rẹ̀. Àwọn ẹ̀rọ kan ń pèsè ojú ewé déédé nígbà tí wọ́n kọ̀ tàbí da ọ̀nà abẹ́lẹ̀ dúró, nítorí náà ẹ̀rọ ìbáṣepọ̀ ń ròyìn ìsopọ̀ tí ó bẹ̀rẹ̀ tí ó sì kú dípò ìkọ̀ mímọ́. Àwọn mìíràn ń gbà ìbéèrè, lẹ́yìn náà wọ́n ń lo àkókò-ìparí ara tàbí àìṣiṣẹ́ tí PPP keepalive kò lè faradà. Méjèèjì dà bí ara wọn láti ẹ̀gbẹ́ ẹ̀rọ ìbáṣepọ̀, ìdí nìyẹn tí ìpele tí ó kùnà ṣe pàtàkì ju ọ̀rọ̀ àṣìṣe lọ.
Pínpín ibudo 443 láàrín ojú wẹ́ẹ̀bù àti SSTP jẹ́ yíyan ọ̀nà ìdarí, kì í ṣe ìlérí pé gbogbo ìgun yóò tọ́jú ìjíròrò méjèèjì bákan náà. Bí olùdógba ẹrù, ògiri iná tàbí olùparí TLS bá wà lórí ọ̀nà, fi wọ́n kún àkójọ àwọn afura sí kí o tó fi ọwọ́ kan ìṣètò VPN.
Dán àwọn ìpele wò lọ́tọ̀ọ̀tọ̀
Ṣe àwọn àyẹ̀wò lẹ́sẹẹsẹ kí o sì dúró ní ìkùnà àkọ́kọ́, nítorí ìpele kọ̀ọ̀kan yọ ìpele mìíràn kúrò. Àwòrán TLS tí ó wà nísàlẹ̀ ya ìdánimọ̀ ìwé-ẹ̀rí kúrò nínú ohun gbogbo tí SSTP ń ṣe. Fi ibi ìparí rẹ rọ́pò orúkọ agbàlejò kí o sì ka subject àti ẹ̀wọ̀n tí ó ń tẹ̀.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.comLẹ́yìn náà so ẹ̀rí tí ó kù mọ́ àwọn ìpele dípò kí o ṣe àfojúsùn láti inú àṣìṣe ẹ̀rọ ìbáṣepọ̀. Tábìlì tí ó wà nísàlẹ̀ ni àkójọ àyẹ̀wò fún ṣíṣe àyọlò nínú tíkẹ́ẹ̀tì, pẹ̀lú ìtẹ̀wọ́gbà tí ń ya ìkùnà kan kúrò nínú èyí tí ó tẹ̀lé.
| Stage | What it proves | Failure signature |
|---|---|---|
| TCP to 443 | A listener exists and the path is open | Timeout or connection refused |
| TLS with SNI | The certificate matches the name you use | Name mismatch or untrusted chain |
| SSTP_DUPLEX_POST exchange | The endpoint is an SSTP server | 405, 404, 301 or an early FIN |
| PPP authentication | The user credential was accepted | Auth failure after a 200 response |
| Inner routing | A permitted destination is reachable | Tunnel up, no reply from the target |
Kọ ìpele àṣeyọrí tí ó gbẹ̀yìn sínú tíkẹ́ẹ̀tì dípò kí o kọ "kò lè so mọ́". Ìlànà MS-SSTP ń kọ ìbéèrè àti ìpààrọ̀ PPP tí ó tẹ̀lé ìfọwọ́sowọ́pọ̀ TLS, ó sì jẹ́ ìtọ́kasí fún ìdí tí àyẹ̀wò ẹrọ aṣàwákiri kò lè rọ́pò èyíkéyìí nínú àwọn méjèèjì.
Ìdánimọ̀ kọ́kọ́, lẹ́yìn náà PPP
Ìdánimọ̀ TLS àti ìjẹ́rìí PPP ń tẹ̀lé ara wọn, kì í ṣe àyọrọ, pípààrọ̀ wọn sì ń darí àwọn ènìyàn sí ìṣètò olùpèsè tí kò tọ́. Ẹ̀rọ ìbáṣepọ̀ kọ́kọ́ ń fìdí ìwé-ẹ̀rí olùpèsè àti ète tí a pète rẹ̀ múlẹ̀, lẹ́yìn náà PPP ń jíròrò ipò tirẹ̀, ó sì ń jẹ́rìí olùmúlò pẹ̀lú ọ̀nà ìpèníjà-ìdáhùn tàbí EAP. Ìṣòro ìwé-ẹ̀rí ń mú àṣìṣe tí ó yàtọ̀ sí ọ̀rọ̀-ìpamọ́ tí a kọ̀, kò sì sí àṣìṣe tí ń ṣàlàyé ìpele tí èkejì bo.
Rírọ́pò orúkọ agbàlejò pẹ̀lú àdírẹ́sì, tàbí títẹ̀ kọjá ìkìlọ̀ ìwé-ẹ̀rí, ń yọ àyẹ̀wò tí ìbá ti dá ìpele tí ń kùnà mọ̀ kúrò dípò kí ó tún un ṣe. Pa ìkìlọ̀ mọ́ kí o sì kà á. Má ṣe tún ọ̀rọ̀-ìpamọ́ PPP ṣe nígbà tí ìpààrọ̀ HTTP kò tí ì dé ìhùwàsí SSTP, nítorí a kò béèrè fún ẹ̀rí ìwọlé rí.