إيقاف PPTP/MS-CHAPv2: دليل تنفيذي لشبكة VPN قديمة

كلمات المرور ذات العشرين حرفًا، التي تُبدَّل شهريًا وتُحفظ في خزنة، لا تحوّل خادم PPTP الذي يعمل بـ MS-CHAPv2 إلى شبكة VPN حديثة. كلمة المرور مدخل إلى تبادلٍ يكمن ضعفه في التبادل نفسه. هذا الدليل التنفيذي موجّه إلى من ورث ذلك الخادم وعليه نقل المستخدمين عنه دون قطع الموقع الذي يعتمد عليه. نفّذ الخطوات بالترتيب، لأن كل خطوة تترك سجلًا ستحتاجه عندما يسأل أحدهم عن سبب تغيّر الوصول فجأة.

اكتب المكوّنات قبل أن تلمس أي شيء

تُطوى ثلاث طبقات في كلمة PPTP، وكل واحدة تفشل بطريقتها. النفق هو PPTP نفسه، أي GRE مع TCP 1723. والمصادقة هي أي طريقة PPP يعرضها الخادم، وهنا MS-CHAPv2. وحماية الوصلة هي MPPE، ومفاتيحها مشتقّة من ذلك التبادل للمصادقة. تسمية الطبقات الثلاث كلها تمنع أن يصيب إصلاح لاحق الطبقة الخطأ.

اقرأ التهيئة الحيّة بدلًا من الوثوق بصفحة ويكي، وسجّل الملف والمستمع وآخر الجلسات التي نجحت مصادقتها.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

على دور الوصول عن بُعد في Windows يأتي الجرد نفسه من أمرين، والثاني مهم لأن الدور قد يعلن عدة طرق في وقت واحد بينما لا يتفاوض عملاء الميدان إلا على الأضعف.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

حدّد ما ينقله النفق فعلًا اليوم

اسرد المستهلكين قبل اختيار البديل: حاسبات محمولة متنقّلة، موجّه فرع، طرف دفع، مجموعة أجهزة لوحية ميدانية. المستهلك الذي يحتاج فقط إلى بلوغ مضيف داخلي واحد يسهل نقله. أما المستهلك المضمَّن في عتاد لا يمكنك إعادة برمجته فقد يحتاج بوابة وسيطة بدلًا من ترقية العميل، وهذا القرار مكانه الخطة لا منتصف التحويل.

ثم اسأل عمّا سيحصل عليه مهاجم يستطيع مراقبة تبادل الدخول أو التأثير فيه. مع MS-CHAPv2 تتضمّن الإجابة مواد تسمح باستعادة كلمة مرور المستخدم دون اتصال، ولهذا بالضبط لا يصلح الطول والتبديل الدوري لتصحيح التصميم: السرّ المستعاد صالح على كل نظام أعاد المستخدم استخدامه فيه.

ترث MPPE الضعف نفسه، لأن مفاتيحها تأتي من ذلك التبادل، وهي لا تمنحك سلامة كل حزمة ولا سلوك إعادة الإرسال الذي يوفّره تشفير AEAD حديث. والجلسة التي تُصادق بنظافة أثبتت التوافق مع الفحوص المهيّأة ولا شيء أكثر.

لا استراحة غداء قصيرة ولا عدد مستخدمين صغير يحوّل خاصية تشفيرية إلى خاصية سياسية.

نفّذ الترحيل داخل نافذة صيانة واحدة

أنشئ البديل، وأثبته بمجموعة تجريبية واحدة، ثم أوقف المستمع القديم بدلًا من تركه كاحتياطي صامت. الاحتياطي الذي لا يزال في متناول الجميع ليس ترحيلًا، ويُبقي التبادل الضعيف متاحًا لأولئك المستخدمين الذين لا يكلفون أنفسهم عناء التحويل.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

أغلق مسار الجدار الناري في النافذة نفسها. لا يملك GRE منفذًا يُذكر، فالقاعدة التي تسمح بالبروتوكول 47 برقمه يسهل إغفالها وتُبقي الخدمة قابلة للبلوغ حتى بعد زوال الخدمة الخفيّة. سجّل القاعدة التي أزلتها وموضعها السابق وسبب الإزالة، حتى لا تعيدها مراجعة تغيير لاحقة عن غير قصد.

عالج بيانات الاعتماد منفصلة عن التهيئة. إزالة ملف تعريف عميل ليست إبطالًا، والحساب الذي ما زال يُصادق في مكان آخر لم يُسحَب بعد.

تحقّق من أن البديل يؤدي المهام التي أداها PPTP

قائمة التحقّق ليست «هل يتصل». بل هل تصمد المصادقة وتخصيص العناوين وحلّ DNS واختيار المسار وسلوك إعادة الاتصال والتحقّق من النظير جميعًا تحت البديل. اختبر كل بند على جهاز تجريبي، بهذا الترتيب، واكتب النتيجة المرصودة بجانب التوقّع.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

عنوان على الواجهة يثبت أن التفاوض اكتمل. وهو لا يثبت أن الطرف البعيد أذن بالمسار الذي تتوقعه، والاستعلام أعلاه يجيب لهذا المضيف فقط لا لشبكة LAN مُمرَّرة. وإجابة المُحلِّل تثبت بلوغ المُحلِّل، لا أن سياسة DNS المنقسمة ترسل الأسماء الصحيحة إليه.

أعد الاتصال أخيرًا، فهناك تتراجع معظم البدائل: علّق الحاسوب المحمول، وغيّر الشبكات، وأكّد أن النفق يعود دون ترك مسارات قديمة.

التراجع والإبطال والسجل الذي تتركه

التراجع يعيد الخدمة؛ ولا يعيد الأمان، والفرق يحتاج إلى قول صريح قبل أن تُفتح النافذة. إن فشل المسار الجديد، فأعد المستخدمين عبر نقطة نهاية حديثة ثانية أو بوابة مؤقتة، لا بإعادة تمكين PPTP للجميع. إبقاء مسار طوارئ واحد على البروتوكول القديم يوسّع التعرّض الذي وثّقته للتو.

بعد التحويل، أبطل الحسابات التي صادقت عبر PPTP، ودع ملفاتها التعريفية المخزّنة تنتهي، وأكّد اختفاء قاعدة GRE من كل جهاز طرفي، بما في ذلك نسخة التعافي من الكوارث التي لا يتذكرها أحد.

اترك سجلًا قصيرًا: البروتوكولات التي وجدتها، وتاريخ توقف كل مستمع، وإصدارات العملاء التي يدعمها البديل، والمالك الذي يمكنه إعادة فتح القرار. تبقى نظافة كلمة المرور مهمة بعد ذلك، لكن كنظافة على بروتوكول يستحقها، لا كحجّة لإبقاء القديم حيًّا.