Dod â PPTP/MS-CHAPv2 i ben: llyfr rhedeg ar gyfer VPN hen ffasiwn

Nid yw cyfrineiriau ugain nod, sy’n cael eu troi bob mis ac yn cael eu cadw mewn cist gadw, yn troi gweinydd PPTP sy’n rhedeg MS-CHAPv2 yn VPN fodern. Mewnbwn i gyfnewid yw’r cyfrinair, ac mae gwendid y cyfnewid hwnnw ynddo’i hun. Mae’r llyfr rhedeg hwn ar gyfer pwy bynnag a etifeddodd y gweinydd hwnnw ac sy’n gorfod symud y defnyddwyr oddi arno heb dorri’r safle sy’n dibynnu arno. Ewch drwy’r camau yn y drefn, oherwydd mae pob un yn gadael cofnod y byddwch ei eisiau pan fydd rhywun yn gofyn pam y newidiodd mynediad yn sydyn.

Ysgrifennwch y pentwr cyn cyffwrdd â dim

Mae tair haen yn cael eu gwasgu i’r gair PPTP, ac mae pob un yn methu yn ei ffordd ei hun. Y tiwb yw PPTP ei hun, GRE ynghyd â TCP 1723. Y dilysiad yw pa bynnag ddull PPP y mae’r gweinydd yn ei gynnig, yma MS-CHAPv2. Yr amddiffyniad cyswllt yw MPPE, ac mae ei allweddi’n deillio o’r cyfnewid dilysu hwnnw. Mae enwi’r tri yn cadw cywiriad diweddarach rhag glanio ar yr haen anghywir.

Darllenwch y ffurfweddiad byw yn hytrach na choelio tudalen wici, a nodwch y ffeil, y gwrandawr a’r sesiynau olaf a ddilyswyd.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Ar rôl mynediad o bell Windows daw’r un rhestr o ddau orchymyn, ac mae’r ail yn bwysig oherwydd gall rôl hysbysebu sawl dull ar unwaith tra nad yw cleientiaid yn y maes byth yn trafod dim ond yr un gwannaf.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Penderfynwch beth y mae’r tiwb yn ei gario heddiw mewn gwirionedd

Rhestrwch y defnyddwyr cyn dewis olynydd: gliniaduron symudol, llwybrydd cangen, terfynell dalu, set o dabledi maes. Mae defnyddiwr sydd ond angen cyrraedd un gwesteiwr mewnol yn hawdd i’w symud. Gall defnyddiwr sydd wedi’i wreiddio mewn caledwedd na allwch ei ailfflachio fod angen porth cyfryngol yn lle uwchraddio cleient, ac mae’r penderfyniad hwnnw’n perthyn i’r cynllun, nid i ganol y newid drosodd.

Yna gofynnwch beth a gâi ymosodwr sy’n gallu arsylwi ar y cyfnewid mewngofnodi neu ddylanwadu arno. Gyda MS-CHAPv2 mae’r ateb yn cynnwys deunydd sy’n caniatáu adferiad all-lein o gyfrinair y defnyddiwr, a dyna’n union pam nad yw hyd a throi yn atgyweirio’r dyluniad: mae’r gyfrinach a adferwyd yn ddilys ar bob system lle gwnaeth y defnyddiwr ei hailddefnyddio.

Mae MPPE yn etifeddu’r un gwendid, gan fod ei allweddi’n dod o’r cyfnewid hwnnw, ac nid yw’n rhoi’r cyfanrwydd fesul pecyn na’r ymddygiad ailchwarae sydd gan seiffr AEAD modern. Mae sesiwn sy’n dilysu’n lân wedi profi cydnawsedd â’r gwiriadau a ffurfweddwyd, a dim mwy.

Nid yw seibiant cinio byr nac ychydig o ddefnyddwyr yn troi priodwedd gryptograffig yn un polisi.

Rhedwch y mudo o fewn un ffenestr gynnal a chadw

Codwch yr olynydd, profwch ef gydag un grŵp peilot, yna stopiwch yr hen wrandawr yn lle ei adael fel cefn distaw. Nid mudo yw cefn y gall unrhyw un gyrraedd o hyd, ac mae’n cadw’r cyfnewid gwan ar gael yn union i’r defnyddwyr hynny nad ydynt byth yn trafferthu newid.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Caewch lwybr y mur tanio yn yr un ffenestr. Nid oes gan GRE borth i’w gofio, felly mae rheol sy’n caniatáu protocol 47 yn ôl rhif yn hawdd ei hanwybyddu ac yn gadael y gwasanaeth yn gyrraeddadwy hyd yn oed ar ôl i’r daemon fynd. Cofnodwch y rheol a symudwyd gennych, ei safle blaenorol a’r rheswm, fel nad yw adolygiad newid diweddarach yn ei hadfer ar ddamwain.

Triniwch fanylion mewngofnodi ar wahân i’r ffurfweddiad. Nid yw tynnu proffil cleient yn ddirymiad, ac nid yw cyfrif sy’n dal i ddilysu yn rhywle arall wedi’i ymddeol.

Gwiriwch fod yr olynydd yn gwneud y gwaith a wnai PPTP

Nid “ydyw’n cysylltu” yw’r rhestr wirio. Y cwestiwn yw a yw’r dilysiad, y neilltuo cyfeiriadau, y datrysiad DNS, y dewis llwybr, yr ymddygiad ailgysylltu a’r gwirio cyfoedr yn dal o dan yr olynydd. Profwch bob un ar ddyfais beilot, yn y drefn honno, ac ysgrifennwch y canlyniad a arsylwyd wrth ymyl y disgwyl.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Mae cyfeiriad ar y rhyngwyneb yn profi bod y trafodaethau wedi cwblhau. Nid yw’n profi bod yr ochr bell wedi awdurdodi’r llwybr yr ydych yn ei ddisgwyl, ac mae’r chwiliad uchod yn ateb ar gyfer y gwesteiwr hwn yn unig, nid ar gyfer LAN a anfonwyd ymlaen. Mae ateb datryswr yn profi cyrraeddadwyedd datryswr, nid bod polisi DNS hollt yn anfon yr enwau cywir ato.

Ailgysylltwch yn olaf, oherwydd dyna lle mae’r rhan fwyaf o olynwyr yn dirywio: ataliwch liniadur, newidiwch rwydweithiau, a chadarnhewch fod y tiwb yn ailosod heb adael llwybrau darfodedig ar ôl.

Troi’n ôl, dirymu a’r cofnod yr ydych yn ei adael ar ôl

Mae troi’n ôl yn adfer gwasanaeth; nid yw’n adfer diogelwch, ac mae angen dweud y gwahaniaeth yn uchel cyn i’r ffenestr agor. Os bydd y llwybr newydd yn methu, dewch â defnyddwyr yn ôl drwy ail bwynt terfynol modern neu borth dros dro, nid drwy ail-gynnau PPTP i bawb. Mae cadw un llwybr argyfwng ar yr hen brotocol yn ehangu’r amlygiad yr ydych newydd ei ddogfennu.

Ar ôl y newid, dirymwch y cyfrifon a ddilyswyd dros PPTP, gadewch i’w proffiliau storio ddod i ben, a chadarnhewch fod y rheol GRE wedi mynd o bob dyfais ymyl, gan gynnwys y copi adfer o drychineb nad oes neb yn ei gofio.

Gadewch gofnod byr: y protocolau a gawsoch, y dyddiad y stopiodd pob gwrandawr, fersiynau cleient a gefnogir gan yr olynydd, a’r perchennog sy’n gallu ailagor y penderfyniad. Mae hylendid cyfrineiriau yn dal yn bwysig wedyn, ond fel hylendid ar brotocol sy’n ei haeddu, nid fel dadl dros gadw’r hen un yn fyw.