RouterOS OpenVPN və NPS: auth yox, user-auth-method təyin edin

RouterOS OpenVPN girişi ilə NPS-ə çata və yenə də rədd edilə bilər; adi səbəb adları hər ikisi autentifikasiya kimi səslənən iki parametrdir. Biri tunel üçün kriptoqrafik həzm seçir; digəri istifadəçinin etimad məlumatlarının RADIUS-a necə təqdim olunacağını müəyyən edir. Həzmi dəyişmək PAP sorğusunu heç vaxt MS-CHAPv2-yə çevirməyəcək, xidmət nə qədər tez-tez yenidən başlasa da. Aşağıdakı yoxlama siyahısı ikisini ayırır, sonra bir uğursuz girişi onu mühakimə edən NPS siyasəti boyunca izləyir.

Addım 1: hər ikisini dəyişməzdən əvvəl hər iki parametri oxuyun

Tuneli sonlandıran marşrutlaşdırıcıda effektiv OpenVPN server konfiqurasiyasını çap edin, ehtiyat nüsxədən və ya kopyalanmış forum yazısından deyil. Sizi maraqlandıran iki sahə adətən eyni menyuda olur və alternativ kimi oxunur. Belə deyillər: biri məlumat kanalına, digəri etimad məlumatlarının mübadiləsinə aiddir.

/interface ovpn-server server print
/interface ovpn-server server export

auth sahəsi sha1 və sha256 kimi həzmləri sadalayır və tunel paketlərini autentifikasiya edən HMAC-ı idarə edir. user-auth-method sahəsi pap və ya mschap2 seçir və marşrutlaşdırıcının istifadəçi etimad məlumatlarını RADIUS-a necə təqdim edəcəyini müəyyən edir. Həzm dəyişikliyi ikinci davranışı dəyişə bilməz; buna görə eyni rədd birincidəki hər düzəlişdən sonra da qalır.

Əgər buraxılışınız user-auth-method ümumiyyətlə təqdim etmirsə, burada dayanın. Köhnə RouterOS buraxılışları onu OpenVPN serverində təklif etməyə bilər və düzəliş daha yenisindən kopyalanmış əmrdə deyil, dəstəkləyə biləcəyiniz buraxılışda olmalıdır.

Addım 2: girişi həqiqətən rədd edən siyasəti tapın

NPS tərəfində bir bağlantı sorğusu şəbəkə siyasətlərinə görə qiymətləndirilir və uyğun siyasətdə göstərilən autentifikasiya metodu müştərinin həqiqətən təklif etdiyi metodlardan biri olmalıdır. Xülasə sayını oxumaq əvəzinə bir uğursuz girişi vaxt və istifadəçi üzrə əlaqələndirin. Təhlükəsizlik jurnalı verilmiş və rədd edilmiş sorğuları səbəb kodu ilə qeyd edir və bu, marşrutlaşdırıcının ümumi xəta sətrindən qat-qat çoxunu deyir.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Hadisədə üç şey oxuyun: uyğun siyasətin adı, autentifikasiya metodu və səbəb kodu. MS-CHAPv2 tələb edən siyasət şifrə düzgün olsa da PAP sorğusunu rədd edir, domen hesabı tələb edən siyasət isə yerli hesabı rədd edir. RADIUS müştəri qeydi də marşrutlaşdırıcının mənbə ünvanına uyğun olmalıdır, əks halda sorğu heç bir siyasətə baxılmazdan əvvəl atılır. Bunların heç biri OpenVPN jurnalında görünmür.

Əgər sorğu NPS-ə heç çatmırsa, burada dayanın. Bu, ortaq sirr, müştəri ünvanı və ya UDP 1812 problemidir və autentifikasiya metodlarını dəyişmək bunu həll etməyəcək.

Addım 3: hər iki tərəfdə bir metodu dəyişin

Təsdiqlənmiş dizayn MS-CHAPv2-dirsə, onu marşrutlaşdırıcıda təyin edin və uyğun siyasətin onu qəbul etdiyini təsdiqləyin. Bir tərəfi dəyişin, yenidən sınaqdan keçirin, sonra digərini dəyişin; ikisini birdən dəyişmək hansının vacib olduğunu deyə bilməməyinizlə nəticələnir.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Xəta yox olsun deyə NPS-də hər zəif metodu aktivləşdirməyin. Backend seçilmiş metodun yoxlaya biləcəyi materialı saxlamalıdır: MS-CHAPv2 şifrəyə və ya domenə çıxış tələb edir və siyasət bu materialı uydurala bilməz. Siyasəti genişləndirmək həm də hücumçunun eyni hesaba qarşı nə sınaya biləcəyini genişləndirir. Metodu, siyasətin adını və dəyişiklik istinadını birlikdə qeyd edin ki, növbəti şəxs təxmin deyil, qərar miras alsın.

Tunelin sertifikat yoxlamasını olduğu kimi saxlayın. Etimad metodu server kimliyini əvəz etmir və testin keçməsi üçün TLS yoxlamalarını aşağı salmaq bir problemi daha pisi ilə dəyişir.

Addım 4: üç giriş və bir icazə sınayın

İcazəli istifadəçini, səhv şifrəni və kənarlaşdırılmış istifadəçini hər birini təzə sessiyada sınayın. Birinci yolu, ikinci etimad yoxlamasının real olduğunu, üçüncü isə siyasətin hələ də kimi kənarlaşdırmalı olduğunu sübut edir. Keşlənmiş sessiya hər üçünü gizlədə bilər, buna görə cəhdlər arasında əlaqəni kəsin.

/log print where topics~"ovpn"
/radius monitor 0

Uğurlu autentifikasiya yoxlama siyahısının sonu deyil. Müştərinin aldığı ünvanı və həmin ünvanın çata bildiyi resursları yoxlayın, çünki istifadəçi düzgün autentifikasiya edib yenə də səhv hovuza düşə bilər. Təyin edilmiş ünvan səhvdirsə, problem metodda deyil, profildə və ya RADIUS cavab atributlarındadır. Bileti bağlamazdan əvvəl ikisini də təsdiqləyin.

Yoxlama siyahısı marşrutlaşdırıcı parametri ilə NPS siyasəti eyni metodu göstərdikdə, bir icazəli istifadəçi təzə sessiya ilə qoşulduqda, bir səhv şifrə rədd edildikdə, bir kənarlaşdırılmış istifadəçi hələ də kənarda qaldıqda və təyin edilmiş ünvan nəzərdə tutulan hovuza uyğun gəldikdə tamamlanır. Bundan azı növbəti girişi təsadüfə buraxır.