Умацаванне VPN на Windows: спачатку аўтэнтыфікацыя, потым тунэль

Ваш VPN-сервер на Windows пытае імя карыстальніка і пароль, і гэты адзіны дыялог хавае тры незвязаныя абавязкі. Адзін даказвае, хто гэты чалавек, другі не дае таму, хто назірае за сеткай, паўторна скарыстацца гэтым доказам, а трэці вырашае, да якіх адрасоў ён можа звяртацца пасля. Большасць невялікіх разгортванняў спачатку ўмацоўваюць тунэль, а першыя два абавязкі пакідаюць па ўмолчаных значэннях, і гэта няправільны парадак.

Працуйце ў тым жа парадку, што і нападаючы. Спачатку тое, што можна перахапіць з сеткі. Затым тое, што можна паўторна выкарыстаць з гэтым перахопам. Нарэшце, тое, да чаго аўтэнтыфікаваны нападаючы можа дабрацца, ужо знаходзячыся ўнутры.

Тры абавязкі, адно дыялогавае акно

Ідэнтычнасць — гэта частка, пра якую людзі думаюць, і яна складае толькі траціну праблемы. Доказ ідэнтычнасці мусіць вытрымаць назіральніка, які запісвае абмен і потым спрабуе зноў. Аўтарызацыя — асобнае рашэнне, якое сервер прымае пасля таго, як ідэнтычнасць усталяваная, і Windows трымае яго ў іншай службе, чым тая, што правярае ўліковыя даныя.

Калі ўсе тры жывуць у адной галаве, звычайны вынік — сервер, які моцна аўтэнтыфікуе, а потым дазваляе карыстальніку дабрацца да ўсяго. Выправіць гэта пазней цяжэй, чым вызначыць палітыку зараз, бо на той час профіль брандмаўэра, пул адрасоў і маршруты ўсе ўжо кадуюць старую дапушчэнне.

Аддзяліце тры рэчы ў сваіх нататках, перш чым кранаць наладу, затым выпраўляйце іх ад самага слабога звяна ўверх.

Чаму MS-CHAPv2 не вытрымлівае тэст на паўтор

Калі сервер дагэтуль прымае PPTP з MS-CHAPv2, тунэль не абараняе пароль у істотным сэнсе. Выклік і адказ можна перахапіць і атакаваць афлайн, і ў 2012 годзе публічная служба ўзлому прадэманстравала аднаўленне з такога рукапаціскання прыкладна за суткі для тыповага пароля. Даўжэйшы і складанейшы пароль падвышае кошт; ён не выдаляе матэрыял, які нападаючы атрымлівае з сеткі.

Патрэбная ўласцівасць — гэта ўліковыя даныя, якія нельга паўтарыць. EAP-TLS з кліенцкімі сертыфікатамі дае кожнай прыладзе ўласную ідэнтычнасць і дазваляе адклікаць роўна адну прыладу.

Разгортванне сертыфікатаў — гэта сапраўдная праца: уласны CA, шлях адклікання, які правяраюць кліенты, і план абнаўлення, які перажывае змену супрацоўнікаў. Стаўцеся да гэтай працы як да праекта, а не як да перашкоды паміж вамі і працоўным тунэлем. Заплануйце на яе бюджэт так, як планавалі б бюджэт на замену брандмаўэра. Агульны пароль таннейшы толькі да першага адклікання.

Папярэдне агучаны ключ аўтэнтыфікуе пару, а не чалавека

L2TP/IPsec з папярэдне агучаным ключом даказвае, што два шлюзы ведаюць аднолькавы сакрэт. Ён нічога не кажа пра тое, які чалавек падключаецца, і не можа на гэтым узроўні адрозніць аднаго супрацоўніка ад іншага. Выкарыстоўвайце доўгае выпадковае значэнне, значна больш за дзесяць сімвалаў, якія прапануюць некаторыя кіраўніцтвы, бо любы, хто перахапіць рукапацісканне, можа атакаваць ключ афлайн.

Кожны кліент на гэтым профілі дзеліць сакрэт, таму выдаленне аднаго чалавека азначае пераразмеркаванне яго ўсім астатнім. Трымайце асобны крок аўтэнтыфікацыі карыстальніка па-над сакрэтам узроўню машыны і пераходзьце на сертыфікаты па меры росту кліентаў. Папярэдне агучаны ключ разам з MS-CHAPv2 — гэта два слабыя пласты, і другі зводзіць на нішто першы.

Аўтарызацыя належыць Network Policy Server

NPS у Windows вырашае, каму можна падключацца, і робіць гэта пасля таго, як аўтэнтыфікацыя ўжо прайшла. Гэтае раздзяленне — самая карысная мера ўмацавання ў прадукце, і шмат разгортванняў пакідаюць яе некранутай.

Выкарыстоўвайце ўмовы палітыкі, якія адлюстроўваюць рэальныя абмежаванні: членства ў групе, часовы прамежак, калі падтрымка ўкамплектаваная, і стан прылады з праверкі здароўя. Дадайце другі фактар там, дзе даныя апраўдваюць трэнне, і памятайце, што палітыка ацэньваецца для кожнай спробы падключэння, што робіць яе жывым кантролем, а не дакументам.

Улік RADIUS таксама дае адзін запіс пра тое, хто і калі падключыўся. Гэты журнал — розніца паміж разборам інцыдэнту і здагадкай, і ён існуе незалежна ад таго, ці хто-небудзь яго чытае.

Абмяжуйце тое, да чаго можа дабрацца паспяховы ўваход

Адаптар VPN павінен трапляць у профіль брандмаўэра, які дазваляе паслугі, патрэбныя яго ролі, а не ўсю падсетку. Пытанне маршрутызацыі асобнае ад фільтрацыі. Поўны тунэль ахоўвае прыладу кліента і прапускае кожны байт праз ваш канал, а раздзелены тунэль пакідае лакальны трафік лакальным і падвяргае прыладу той сетцы, у якой яна апынулася.

Ні адзін з варыянтаў не з'яўляецца тыповым патрабаваннем бяспекі. Абодва трэба запісаць побач з профілем брандмаўэра, які яны мяркуюць.

Праверце шляхі адмоваў

Праверце тое, што павінна зламацца: няправільны пароль, скончаны сертыфікат, адкліканая прылада, карыстальнік па-за групай. Кожнае павінна зламацца ў розным пункце, і журнал павінен сказаць, у якім менавіта. Прагоньце набор спачатку на тэставым уліковым запісе, затым паўтарыце для рэальнага карыстальніка. Адмова, якая трапляе ў журнал падзей без прычыны, вартая выпраўлення задоўга да таго, як вам спатрэбіцца гэты запіс.

Затым пацвердзіце, якія порты апублікаваныя і чаму. PPTP патрабуе TCP 1723 і GRE як IP-пратакол, а не порт, IKEv2 патрабуе UDP 500 і 4500, а L2TP патрабуе UDP 1701 плюс IPsec. Адкрыццё інтэрфейсу кіравання, каб кліент падключыўся, — гэта не рамонт, а другі інцыдэнт, які чакае выяўлення.

Нарэшце, вырашыце, што сервер запісвае і на які тэрмін. Канцавы пункт без гісторыі аўтэнтыфікацыі не можа адказаць на першае пытанне пасля інцыдэнту: ці была спроба наогул дазволеная.