Ukončení PPTP/MS-CHAPv2: runbook pro zastaralou VPN

Dvacetiznaková hesla, měněná každý měsíc a uložená v trezoru, neudělají z PPTP serveru s MS-CHAPv2 moderní VPN. Heslo je vstupem do výměny, jejíž slabina žije v samotné výměně. Tento runbook je pro toho, kdo ten server zdědil a musí z něj uživatele přesunout, aniž by odřízl lokalitu, která na něm závisí. Projděte kroky v pořadí, protože každý zanechá záznam, který budete chtít mít, až se někdo zeptá, proč se přístup najednou změnil.

Než se čehokoli dotknete, zapište si skladbu

Tři vrstvy se slévají do slova PPTP a každá selhává po svém. Tunel je samo PPTP, GRE plus TCP 1723. Autentizace je ta metoda PPP, kterou server nabízí, zde MS-CHAPv2. Ochrana spoje je MPPE, jejíž klíče se odvozují z této autentizační výměny. Pojmenování všech tří brání tomu, aby pozdější oprava přistála na špatné vrstvě.

Čtěte živou konfiguraci, místo abyste věřili wiki stránce, a poznamenejte soubor, naslouchající proces a poslední relace, které se autentizovaly.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Na roli vzdáleného přístupu Windows pochází stejný soupis ze dvou příkazů a druhý je důležitý, protože role může inzerovat několik metod najednou, zatímco klienti v terénu vždy vyjednají jen tu nejslabší.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Určete, co tunel dnes skutečně přenáší

Než zvolíte náhradu, vypište spotřebitele: putující notebooky, router pobočky, platební terminál, sada terénních tabletů. Spotřebitele, který potřebuje dosáhnout jen jednoho interního hostitele, lze přesunout snadno. Spotřebitel zabudovaný v hardwaru, který nemůžete přehrát, může potřebovat prostřední bránu místo upgradu klienta, a toto rozhodnutí patří do plánu, ne doprostřed přechodu.

Pak se ptejte, co by získal útočník, který dokáže odposlouchávat přihlašovací výměnu nebo ji ovlivnit. U MS-CHAPv2 odpověď zahrnuje materiál, který umožňuje offline obnovu uživatelova hesla, a právě proto délka a rotace design neopraví: obnovené tajemství platí v každém systému, kde ho uživatel znovu použil.

MPPE dědí stejnou slabinu, protože její klíče pocházejí z této výměny, a nedává integritu po paketech ani chování při opakování jako moderní šifra AEAD. Relace, která se čistě autentizuje, prokázala jen soulad s nakonfigurovanými kontrolami a nic víc.

Ani krátká polední přestávka, ani malý počet uživatelů nepřemění kryptografickou vlastnost ve vlastnost politiky.

Migraci proveďte v jediném okně údržby

Postavte náhradu, prokažte ji jednou pilotní skupinou, a pak starý naslouchající proces zastavte, místo abyste ho nechali jako tichou zálohu. Záloha, ke které se ještě každý dostane, není migrace, a udržuje slabou výměnu dostupnou právě pro ty uživatele, kteří si nikdy nedají práci přejít.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Cestu přes firewall zavřete ve stejném okně. GRE nemá port, který je třeba si pamatovat, takže pravidlo povolující protokol 47 podle čísla se snadno přehlédne a nechá službu dostupnou i poté, co daemon zmizel. Poznamenejte pravidlo, které jste odstranili, jeho předchozí pozici a důvod, aby je pozdější revize změn omylem neobnovila.

Přihlašovací údaje řešte odděleně od konfigurace. Odebrání klientského profilu není odvolání a účet, který se jinde stále autentizuje, nebyl vyřazen.

Ověřte, že náhrada dělá práci, kterou dělalo PPTP

Kontrolní seznam není „připojí se“. Je to otázka, zda autentizace, přidělování adres, překlad DNS, volba trasy, chování při opětovném připojení a ověření protistrany stále drží pod náhradou. Otestujte každou položku na pilotním zařízení, v tomto pořadí, a napište pozorovaný výsledek vedle očekávání.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Adresa na rozhraní dokazuje, že vyjednávání skončilo. Nedokazuje, že vzdálená strana autorizovala trasu, kterou očekáváte, a výše uvedený dotaz odpovídá jen za tohoto hostitele, ne za přeposílanou LAN. Odpověď resolveru dokazuje dosažitelnost resolveru, ne to, že politika rozděleného DNS k němu posílá správná jména.

Opětovné připojení zkontrolujte nakonec, protože tam většina náhrad regreduje: uspěte notebook, změňte sítě a potvrďte, že se tunel obnoví, aniž by zůstaly zastaralé trasy.

Vrácení, odvolání a záznam, který po sobě zanecháte

Vrácení obnovuje službu; neobnovuje bezpečnost, a ten rozdíl je třeba říct nahlas, než se okno otevře. Pokud nová cesta selže, přiveďte uživatele zpět přes druhý moderní koncový bod nebo dočasnou bránu, ne znovuzapnutím PPTP pro všechny. Ponechání jedné nouzové cesty na starém protokolu rozšiřuje expozici, kterou jste právě zdokumentovali.

Po přechodu odvolejte účty, které se autentizovaly přes PPTP, nechte jejich uložené profily vypršet a potvrďte, že pravidlo GRE zmizelo z každého okrajového zařízení, včetně kopie pro obnovu po havárii, na kterou si nikdo nepamatuje.

Zanechte krátký záznam: protokoly, které jste našli, datum, kdy každý naslouchající proces skončil, verze klientů, které náhrada podporuje, a vlastníka, který může rozhodnutí znovu otevřít. Hygiena hesel je potom stále důležitá, ale jako hygiena na protokolu, který si ji zaslouží, ne jako argument pro udržení starého naživu.