Windows VPN sərtləşdirməsi: tuneldən əvvəl autentifikasiyanı düzəldin

Windows VPN serveriniz istifadəçi adı və parol soruşur və bu tək dialoq pəncərəsi üç əlaqəsiz vəzifəni gizlədir. Biri şəxsin kim olduğunu sübut edir, biri bu sübutun kabeli izləyən kimsə tərəfindən təkrar istifadəsinin qarşısını alır, biri isə sonradan hansı ünvanlara toxuna biləcəyini müəyyən edir. Kiçik quraşdırmaların çoxu əvvəlcə tuneli sərtləşdirir və ilk iki vəzifəni standart vəziyyətdə qoyur ki, bu yanlış sıradır.

Hücumçunun etdiyi sıra ilə işləyin. Əvvəlcə kabeldən tutula bilənlər. Sonra həmin yazı ilə daha sonra təkrar istifadə edilə bilənlər. Nəhayət, daxil olduqdan sonra autentifikasiya olunmuş hücumçunun çata bildikləri.

Üç vəzifə, bir dialoq pəncərəsi

İdentiklik insanların düşündüyü hissədir və problemin yalnız üçdə biridir. İdentiklik sübutu mübadiləni qeyd edib sonra yenidən cəhd edən müşahidəçiyə davam gətirməlidir. İcazə isə identiklik həll olunduqdan sonra serverin verdiyi ayrı qərardır və Windows onu etimadnamələri yoxlayan xidmətdən fərqli xidmətdə saxlayır.

Üçü də bir zehni vedrədə yaşayanda adi nəticə güclü autentifikasiya edən və sonra istifadəçiyə hər şeyə çatmağa icazə verən server olur. Bunu sonradan düzəltmək siyasəti indi qərarlaşdırmaqdan çətindir, çünki o vaxta qədər firewall profili, ünvan hovuzu və marşrutlar köhnə fərziyyəni kodlaşdırır.

Hər hansı parametrə toxunmazdan əvvəl üçünü qeydlərinizdə ayırın, sonra onları ən zəif halqadan yuxarı düzəldin.

Niyə MS-CHAPv2 təkrar oynatma testinə tab gətirə bilmir

Server hələ də MS-CHAPv2 ilə PPTP qəbul edirsə, tunel parolu heç bir mənalı şəkildə qorumur. Çağırış və cavab tutula və oflayn hücuma məruz qala bilər və 2012-ci ildə açıq bir krekinq xidməti belə bir əl sıxışmadan tipik bir parolun təxminən bir günə bərpasını nümayiş etdirdi. Daha uzun və mürəkkəb parol xərci artırır; hücumçunun şəbəkədən ehtiyac duyduğu materialı aradan qaldırmır.

İstədiyiniz xassə təkrar oynadıla bilməyən etimadnamədir. Müştəri sertifikatları ilə EAP-TLS hər cihaza öz identikliyini verir və tam olaraq bir cihazı ləğv etməyə imkan tanıyır.

Sertifikat quraşdırılması əsl işdir: özəl CA, müştərilərin yoxladığı ləğv yolu və kadr dəyişkənliyinə davam gətirən yeniləmə planı. Bu işi layihə kimi qəbul edin, işləyən tunellə aranızdakı maneə kimi deyil. Onun üçün firewall dəyişdirməsinə büdcə ayırdığınız kimi büdcə ayırın. Ortaq parol yalnız ilk ləğvə qədər ucuzdur.

Əvvəlcədən paylaşılan açar cütlüyü autentifikasiya edir, şəxsi deyil

L2TP/IPsec əvvəlcədən paylaşılan açarla iki şlüzün eyni sirri bildiyini sübut edir. Bu, hansı insanın qoşulduğu barədə heç nə demir və o qatda bir işçini digərindən ayıra bilmir. Uzun təsadüfi dəyər istifadə edin, bəzi bələdçilərin təklif etdiyi on simvoldan xeyli uzaq, çünki əl sıxışmanı tutan hər kəs açarı oflayn hücuma məruz qoya bilər.

Həmin profildəki hər müştəri sirri paylaşır, ona görə bir şəxsi çıxarmaq onu qalan hər kəsə yenidən paylamaq deməkdir. Maşın səviyyəli sirrin üstündə ayrı bir istifadəçi autentifikasiyası addımı saxlayın və müştəri sayı artdıqca sertifikatlara keçin. Əvvəlcədən paylaşılan açar MS-CHAPv2 ilə birlikdə iki zəif qatdır və ikincisi birincini ləğv edir.

İcazə Network Policy Server-də olmalıdır

Windows-da NPS kimin qoşula biləcəyini qərar verir və bunu autentifikasiya artıq uğurla keçdikdən sonra edir. Bu ayrılıq məhsuldakı ən faydalı sərtləşdirmə nəzarətidir və bir çox quraşdırma ona toxunmur.

Real məhdudiyyətləri əks etdirən siyasət şərtlərindən istifadə edin: qrup üzvlüyü, dəstəyin işçi ilə təmin olunduğu vaxt pəncərəsi və sağlamlıq yoxlamasından gələn cihaz vəziyyəti. Məlumatlar sürtünməni əsaslandırdığı yerdə ikinci faktor əlavə edin və unutmayın ki, siyasət hər qoşulma cəhdi üçün qiymətləndirilir, bu da onu sənəd deyil, canlı nəzarət edir.

RADIUS uçotu həmçinin kimin və nə vaxt qoşulduğuna dair bir qeyd verir. Bu jurnal insident araşdırması ilə təxmin arasındakı fərqdir və kimsə onu oxusun ya oxumasın, mövcuddur.

Uğurlu girişin çata biləcəyini məhdudlaşdırın

VPN adapteri rolunun ehtiyac duyduğu xidmətlərə icazə verən firewall profilinə düşməlidir, bütün alt şəbəkəyə deyil. Marşrutlaşdırma sualı filtrləmədən ayrıdır. Tam tunel müştəri cihazını qoruyur və hər baytı sizin yuxarı kanalınızdan keçirir, bölünmüş tunel isə yerli trafiki yerli saxlayır və cihazı hansı şəbəkədədirsə ona məruz qoyur.

Seçimlərin heç biri təhlükəsizlik standartı deyil. Hər ikisi fərz etdikləri firewall profilinə bitişik yazılmalıdır.

Uğursuzluq yollarını yoxlayın

Nəyin pozulmalı olduğunu sınayın: səhv parol, vaxtı keçmiş sertifikat, ləğv edilmiş cihaz, qrupdan kənar istifadəçi. Hər biri fərqli nöqtədə uğursuz olmalı və jurnal hansı olduğunu deməlidir. Dəsti əvvəlcə test hesabında işlədin, sonra real istifadəçi üçün təkrarlayın. Səbəb göstərilmədən hadisə jurnalına düşən rədd qeydə ehtiyac duymadan çox əvvəl düzəldilməyə dəyər.

Sonra hansı portların açıq olduğunu və niyə olduğunu təsdiqləyin. PPTP TCP 1723 və port kimi deyil, IP protokolu kimi GRE tələb edir, IKEv2 UDP 500 və 4500 tələb edir, L2TP isə UDP 1701 üstəgəl IPsec tələb edir. Müştərinin qoşulması üçün idarəetmə interfeysini açmaq təmir deyil, aşkar edilməyi gözləyən ikinci insidentdir.

Nəhayət, serverin nəyi və nə qədər müddət qeyd etdiyini qərarlaşdırın. Autentifikasiya tarixçəsi olmayan son nöqtə insidentdən sonra ilk suala cavab verə bilməz: cəhd heç vaxt icazəli idi ya yox.