Про SSTP

[vitus_wagner]

Поисследовал немножко вопрос перевода своей VPN с openvpn на sstp. sstp это фактически ppp over tls. То есть отличить это от веб-траффика существенно менее реально. Правда, наиболее распространенной реализацией sstp-сервера пол linux является softether на который у меня аллергия. Он какой-то цисковский по всей идеологии. а не юниксовый.

Правда, существует еще sstpd. Но он вообще на питоне написан. Зато, правда. заточен на работу за полноценным веб-сервером в качестве frontend-proxy.

Кроме этого вопроса с реализациями у SSTP есть проблема с аутентификацией Почему-то не поддерживается в sstpc аутентификация по клиентским сертификатам. Хотя вроде у микрософта в RAS она была. А тут вся аутентификация спихнута на pppd. А в пароли я как-то не верю в наше время. Даже в CHAP.

Upd Оказывается, в linux-овом pppd версии 2.4.9 и выше поддержка EAP-TLS, в том числе и с использованием аппаратных токенгов все же есть. Правда. исключительно хреново документирована.

Comments

[0xfeedca75]

Штуки вроде v2ray и т.п. с большим объёмом кода и дичайшими зависимостями (и блобами) пугают. Код не обозрим, делается это всё непонятно кем, и недавние истории с xz намекают, что лучше такого сторониться. Тем более немного разбираясь в вопросе начинаешь понимать, что вот такое нагромождение вовсе и не нужно. Потому, что примеры vtun или trojan (C++-версии) показывают, что вагон кода не нужен. Более того, часто может быть достаточно вовсе socat'а. И то же самое касается клиентов для мобильника. Нормальных, кажется, нет вообще. А там казалось бы задачка: простейший UI на Java, установить SSL-соединение (тоже Java вполне достаточна, зачем длинная цепочка зависимостей не понятно), траффик вынуть из SSL-сокета и переложить в tun/tap. Десятки библиотек нативного кода явно тут не нужны.

[vitus_wagner]

Да, мне v2ray тоже не очень понравился. Единственный аргкумент в его пользу это то, что современные средтсва DPI умеют обнаруживтаь TLS over TLS и считают его достойным блокировке а xray умеет после tls-хэндшейка весь последующий TLS-траффик не шифровать второй раз (что кстати и ресурсы еще экономит).