RouterOS OpenVPN en NPS: stel user-auth-method in, nie auth nie

Op RouterOS kies auth die tonnel-verdigsel, terwyl user-auth-method besluit hoe die RADIUS-versoek nagegaan word. Pas die tweede by die NPS-beleid aan.

RouterOS kan NPS met 'n OpenVPN-aanmelding bereik en steeds verwerp word, en die gewone oorsaak is twee instellings wie se name albei na verifikasie klink. Een kies 'n kriptografiese verdigsel vir die tonnel; die ander besluit hoe die gebruiker se geloofsbriewe aan RADIUS voorgelê word. 'n Verdigselverandering sal nooit 'n PAP-versoek in MS-CHAPv2 omskep nie, maak nie saak hoe dikwels die diens herbegin nie. Die kontrolelys hieronder skei die twee en volg dan 'n enkele mislukte aanmelding deur die NPS-beleid wat dit beoordeel het.

Stap 1: lees albei instellings voordat jy enigeen verander

Druk die effektiewe OpenVPN-bedienerkonfigurasie op die router uit wat die tonnel beëindig, nie uit 'n rugsteun of 'n gekopieerde forumpos nie. Die twee velde wat saak maak, staan gewoonlik in dieselfde kieslys en lees asof hulle alternatiewe is. Hulle is nie: een gaan oor die datakanaal, die ander oor die uitruil van geloofsbriewe.

/interface ovpn-server server print
/interface ovpn-server server export

Die veld auth lys verdigsels soos sha1 en sha256 en beheer die HMAC wat tonnelpakette verifieer. Die veld user-auth-method kies pap of mschap2 en besluit hoe die router die gebruiker se geloofsbriewe aan RADIUS voorlê. 'n Verdigselverandering kan nie die tweede gedrag verander nie, en daarom oorleef dieselfde verwerping elke aanpassing aan die eerste.

Stop hier as jou weergawe user-auth-method glad nie blootstel nie. Ouer RouterOS-bouwe bied dit dalk nie op die OpenVPN-bediener nie, en die regstelling hoort in 'n weergawe wat jy kan ondersteun, nie in 'n opdrag wat uit 'n nuwer een gekopieer is nie.

Stap 2: vind die beleid wat die aanmelding werklik verwerp het

Aan die NPS-kant word 'n verbindingsversoek teen netwerkbeleide geëvalueer, en die verifikasiemetode wat in die passende beleid genoem word, moet een wees wat die kliënt werklik aangebied het. Korreleer een mislukte aanmelding volgens tyd en gebruiker eerder as om 'n opsommingstelling te lees. Die sekuriteitslog teken toegestane en geweierde versoeke met 'n redekode aan, wat jou baie meer vertel as die router se algemene foutlyn.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Lees drie dinge in die gebeurtenis: die naam van die passende beleid, die verifikasiemetode en die redekode. 'n Beleid wat MS-CHAPv2 vereis, verwerp 'n PAP-versoek selfs wanneer die wagwoord korrek is, en 'n beleid wat 'n domeinrekening vereis, verwerp 'n plaaslike een. Die RADIUS-kliëntinskrywing moet ook by die router se bronadres pas, anders word die versoek laat val voordat enige beleid geraadpleeg word. Niks daarvan verskyn in die OpenVPN-log nie.

Stop hier as die versoek NPS nooit bereik nie. Dit is 'n probleem met die gedeelde geheim, kliëntadres of UDP 1812, en 'n verandering van verifikasiemetodes sal dit nie regmaak nie.

Stap 3: verander een metode, aan albei kante

As die goedgekeurde ontwerp MS-CHAPv2 is, stel dit op die router in en bevestig dat die passende beleid dit aanvaar. Verander een kant, toets weer en verander dan die ander; albei gelyktydig verander laat jou nie meer sê watter een saak gemaak het nie.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Moenie elke swakker metode op NPS aktiveer om die fout te laat verdwyn nie. Die backend moet materiaal hou wat die gekose metode kan verifieer: MS-CHAPv2 het toegang tot die wagwoord of die domein nodig, en 'n beleid kan daardie materiaal nie uitdink nie. Om die beleid te verbreed verbreed ook wat 'n aanvaller teen dieselfde rekening kan probeer. Teken die metode, die beleid se naam en die veranderingsverwysing saam aan, sodat die volgende persoon 'n besluit erf eerder as 'n raaiskoot.

Hou die tonnel se sertifikaatvalidering presies soos dit was. 'n Geloofsbriefmetode is nie 'n plaasvervanger vir bedieneridentiteit nie, en om TLS-kontroles te verlaag om 'n toets te laat slaag, ruil een probleem vir 'n erger een.

Stap 4: toets drie aanmeldings en een toestemming

Toets 'n toegelate gebruiker, 'n verkeerde wagwoord en 'n uitgeslote gebruiker, elkeen in 'n vars sessie. Die eerste bewys die pad, die tweede bewys die geloofsbriefkontrole is eg, en die derde bewys die beleid sluit steeds uit wie dit moet. 'n Gekaste sessie kan al drie verberg, so verbreek tussen pogings.

/log print where topics~"ovpn"
/radius monitor 0

Suksesvolle verifikasie is nie die einde van die kontrolelys nie. Kontroleer die adres wat die kliënt ontvang het en die hulpbronne wat daardie adres kan bereik, want 'n gebruiker kan korrek verifieer en steeds in die verkeerde poel beland. As die toegewysde adres verkeerd is, sit die probleem in die profiel of die RADIUS-antwoordkenmerke, nie in die metode nie. Bevestig albei voordat jy die kaartjie sluit.

Die kontrolelys is klaar wanneer die router-instelling en die NPS-beleid dieselfde metode noem, een toegelate gebruiker met 'n vars sessie verbind, een verkeerde wagwoord verwerp word, een uitgeslote gebruiker steeds uitgesluit is en die toegewysde adres by die beoogde poel pas. Enigiets minder laat die volgende aanmelding aan die toeval oor.

Verwante artikels