Windows VPN শক্তিশালীকরণ: টানেলের আগে প্রমাণীকরণ ঠিক করুন

আপনার Windows VPN সার্ভার ব্যবহারকারীর নাম ও পাসওয়ার্ড চায়, এবং সেই একক ডায়ালগ তিনটি অসংশ্লিষ্ট দায়িত্ব লুকিয়ে রাখে। একটি প্রমাণ করে ব্যক্তি কে, একটি প্রতিরোধ করে যে তারটি দেখছে এমন কেউ সেই প্রমাণ পুনরায় ব্যবহার করবে, এবং একটি ঠিক করে পরে কোন ঠিকানায় পৌঁছানো যাবে। বেশিরভাগ ছোট স্থাপনা আগে টানেলকে শক্ত করে এবং প্রথম দুটি দায়িত্ব তাদের ডিফল্ট মানে রেখে দেয়, যা ভুল ক্রম।

আক্রমণকারী যে ক্রমে কাজ করে সেই ক্রমেই কাজ করুন। প্রথমে যা তার থেকে ধরা যায়। তারপর যা সেই রেকর্ডিং দিয়ে পরে পুনরায় চালানো যায়। শেষে, প্রমাণীকৃত আক্রমণকারী ভিতরে ঢুকে যা পৌঁছাতে পারে।

তিন দায়িত্ব, এক ডায়ালগ

পরিচয় হলো সেই অংশ যা নিয়ে মানুষ ভাবে, এবং এটি সমস্যার এক-তৃতীয়াংশ মাত্র। পরিচয়ের প্রমাণকে এমন পর্যবেক্ষকের সামনে টিকে থাকতে হবে যে বিনিময় রেকর্ড করে পরে আবার চেষ্টা করে। আর অনুমোদন একটি আলাদা সিদ্ধান্ত যা সার্ভার পরিচয় নির্ধারিত হওয়ার পর নেয়, এবং Windows এটি সেই সেবা থেকে আলাদা সেবায় রাখে যা প্রমাণপত্র যাচাই করে।

যখন তিনটিই একই মানসিক বালতিতে থাকে, স্বাভাবিক ফল হলো এমন সার্ভার যা জোরালোভাবে প্রমাণীকরণ করে এবং তারপর ব্যবহারকারীকে সবকিছুতে পৌঁছাতে দেয়। এটি পরে ঠিক করা এখন নীতি নির্ধারণের চেয়ে কঠিন, কারণ ততদিনে ফায়ারওয়াল প্রোফাইল, ঠিকানা পুল ও রুট সবই পুরনো অনুমান কোড করে ফেলে।

কোনো সেটিং স্পর্শ করার আগে তিনটিকে আপনার নোটে আলাদা করুন, তারপর সবচেয়ে দুর্বল কড়ি থেকে উপরে সংশোধন করুন।

কেন MS-CHAPv2 পুনঃপ্লে পরীক্ষায় টিকতে পারে না

যদি সার্ভার এখনও MS-CHAPv2 সহ PPTP গ্রহণ করে, টানেল কোনো অর্থপূর্ণ অর্থে পাসওয়ার্ড রক্ষা করছে না। চ্যালেঞ্জ ও প্রতিক্রিয়া ধরা যায় এবং অফলাইনে আক্রমণ করা যায়, এবং 2012 সালে একটি প্রকাশ্য ক্র্যাকিং সেবা সাধারণ পাসওয়ার্ডের জন্য এমন হ্যান্ডশেক থেকে প্রায় এক দিনে পুনরুদ্ধার দেখিয়েছিল। দীর্ঘ ও জটিল পাসওয়ার্ড খরচ বাড়ায়; আক্রমণকারীর নেটওয়ার্ক থেকে প্রয়োজনীয় উপাদান তা সরায় না।

আপনার প্রয়োজনীয় বৈশিষ্ট্য হলো এমন প্রমাণপত্র যা পুনরায় চালানো যায় না। ক্লায়েন্ট সার্টিফিকেটসহ EAP-TLS প্রতিটি ডিভাইসকে তার নিজস্ব পরিচয় দেয় এবং ঠিক একটি ডিভাইস বাতিল করতে দেয়।

সার্টিফিকেট স্থাপন প্রকৃত কাজ: একটি বেসরকারি CA, ক্লায়েন্ট যাচাই করা বাতিলের পথ, এবং কর্মী পরিবর্তন সহ্য করে এমন নবায়ন পরিকল্পনা। সেই কাজকে প্রকল্প হিসেবে দেখুন, আপনার ও চলমান টানেলের মধ্যে বাধা হিসেবে নয়। ফায়ারওয়াল প্রতিস্থাপনের জন্য বাজেট রাখেন যেভাবে, সেভাবেই এর জন্য রাখুন। শেয়ার করা পাসওয়ার্ড কেবল প্রথম বাতিল পর্যন্ত সস্তা।

পূর্ব-শেয়ার করা কী জোড়াকে প্রমাণীকরণ করে, ব্যক্তিকে নয়

L2TP/IPsec পূর্ব-শেয়ার করা কী সহ প্রমাণ করে দুটি গেটওয়ে একই গোপন জানে। কোন মানুষ সংযোগ করছে সে সম্পর্কে কিছুই বলে না, এবং সেই স্তরে এক কর্মচারীকে অন্যদের থেকে আলাদা করতে পারে না। দীর্ঘ এলোমেলো মান ব্যবহার করুন, কিছু নির্দেশিকার প্রস্তাবিত দশ অক্ষরের অনেক উপরে, কারণ যে হ্যান্ডশেক ধরে সে অফলাইনে কী-তে আক্রমণ করতে পারে।

সেই প্রোফাইলের প্রতিটি ক্লায়েন্ট গোপনটি ভাগ করে, তাই একজনকে সরানো মানে বাকি সবার মধ্যে তা পুনরায় বিতরণ করা। মেশিন-স্তরের গোপনটির উপরে আলাদা ব্যবহারকারী প্রমাণীকরণ ধাপ রাখুন, এবং ক্লায়েন্ট সংখ্যা বাড়ার সঙ্গে সার্টিফিকেটে যান। পূর্ব-শেয়ার করা কী MS-CHAPv2-এর সঙ্গে মিলে দুটি দুর্বল স্তর, এবং দ্বিতীয়টি প্রথমটিকে নিষ্ক্রিয় করে।

অনুমোদন Network Policy Server-এ

Windows-এ NPS ঠিক করে কে সংযোগ করতে পারে, এবং তা প্রমাণীকরণ আগে সফল হওয়ার পর করে। সেই বিচ্ছেদ পণ্যটির সবচেয়ে উপকারী শক্তিশালীকরণ নিয়ন্ত্রণ, এবং অনেক স্থাপনা এটি অস্পর্শিত রাখে।

এমন নীতি শর্ত ব্যবহার করুন যা বাস্তব সীমাবদ্ধতা প্রতিফলিত করে: গোষ্ঠী সদস্যপদ, সহায়তায় কর্মী থাকার সময়-জানালা, এবং স্বাস্থ্য যাচাই থেকে ডিভাইসের অবস্থা। যেখানে তথ্য ঘর্ষণকে ন্যায্য বলে সেখানে দ্বিতীয় উপাদান যোগ করুন, এবং মনে রাখুন নীতি প্রতিটি সংযোগ প্রচেষ্টায় মূল্যায়িত হয়, যা এটিকে নথি নয় বরং জীবন্ত নিয়ন্ত্রণ করে।

RADIUS হিসাব আপনাকে কে কখন সংযোগ করেছিল তার একটি রেকর্ডও দেয়। সেই লগ ঘটনা পর্যালোচনা ও অনুমানের মধ্যে পার্থক্য, এবং কেউ তা পড়ুক বা না পড়ুক তা থাকে।

সফল লগইন কোথায় পৌঁছাতে পারে তা সীমিত করুন

VPN অ্যাডাপ্টার পুরো সাবনেটের বদলে তার ভূমিকার প্রয়োজনীয় সেবাগুলোকে অনুমতি দেয় এমন ফায়ারওয়াল প্রোফাইলে নামা উচিত। রাউটিংয়ের প্রশ্ন ফিল্টারিং থেকে আলাদা। পূর্ণ টানেল ক্লায়েন্ট ডিভাইস রক্ষা করে এবং প্রতিটি বাইট আপনার আপলিংক দিয়ে পাঠায়, আর বিভক্ত টানেল স্থানীয় ট্রাফিক স্থানীয় রাখে এবং ডিভাইসটিকে যে নেটওয়ার্কে থাকে তার সামনে উন্মুক্ত করে।

দুটি বিকল্পের কোনোটিই নিরাপত্তা ডিফল্ট নয়। দুটিই যে ফায়ারওয়াল প্রোফাইল ধরে নেয় তার পাশে লিখে রাখতে হবে।

ব্যর্থতার পথ যাচাই করুন

কী ভাঙা উচিত তা পরীক্ষা করুন: ভুল পাসওয়ার্ড, মেয়াদোত্তীর্ণ সার্টিফিকেট, বাতিল ডিভাইস, গোষ্ঠীর বাইরের ব্যবহারকারী। প্রত্যেকটি ভিন্ন বিন্দুতে ব্যর্থ হওয়া উচিত, এবং লগকে বলতে হবে কোনটি ছিল। সেটটি প্রথমে পরীক্ষামূলক অ্যাকাউন্টে চালান, তারপর প্রকৃত ব্যবহারকারীর জন্য পুনরাবৃত্তি করুন। কারণ ছাড়া ঘটনা লগে পৌঁছানো প্রত্যাখ্যান সেই রেকর্ড প্রয়োজন হওয়ার অনেক আগেই ঠিক করার যোগ্য।

তারপর নিশ্চিত করুন কোন পোর্ট প্রকাশিত এবং কেন। PPTP-এর TCP 1723 এবং পোর্ট নয় বরং IP প্রোটোকল হিসেবে GRE প্রয়োজন, IKEv2-এর UDP 500 ও 4500 প্রয়োজন, এবং L2TP-এর UDP 1701 সহ IPsec প্রয়োজন। ক্লায়েন্ট সংযোগ করার জন্য ব্যবস্থাপনা ইন্টারফেস খোলা মেরামত নয়, এটি আবিষ্কারের অপেক্ষায় থাকা দ্বিতীয় ঘটনা।

শেষে, সার্ভার কী এবং কত সময় রেকর্ড করে তা ঠিক করুন। প্রমাণীকরণ ইতিহাসহীন প্রান্তবিন্দু ঘটনার পরে প্রথম প্রশ্নের উত্তর দিতে পারে না, অর্থাৎ সেই প্রচেষ্টা কখনো অনুমোদিত ছিল কি না।