RouterOS OpenVPN a NPS: gosodwch user-auth-method, nid auth

Gall RouterOS gyrraedd NPS gyda mewngofnod OpenVPN ac eto gael ei wrthod, a'r achos arferol yw dau osodiad y mae eu henwau ill dau'n swnio fel dilysu. Mae un yn dewis trawstoriad cryptograffig ar gyfer y twnnel; mae'r llall yn penderfynu sut mae manylion mewngofnodi'r defnyddiwr yn cael eu cyflwyno i RADIUS. Ni fydd newid y trawstoriad byth yn troi cais PAP yn MS-CHAPv2, waeth pa mor aml y bydd y gwasanaeth yn ailgychwyn. Mae'r rhestr isod yn gwahanu'r ddau, ac yna'n dilyn un mewngofnod wedi methu drwy'r polisi NPS a'i barnodd.

Cam 1: darllenwch y ddau osodiad cyn newid yr un

Argraffwch ffurfweddiad effeithiol gweinydd OpenVPN ar y llwybrydd sy'n terfynu'r twnnel, nid o gopi wrth gefn nac o bost fforwm wedi'i gopïo. Mae'r dau faes sy'n bwysig fel arfer yn yr un ddewislen ac yn darllen fel pe baent yn ddewisiadau amgen. Nid ydynt: mae un yn ymwneud â'r sianel ddata, a'r llall ag ymgyfnewid manylion mewngofnodi.

/interface ovpn-server server print
/interface ovpn-server server export

Mae'r maes auth yn rhestr trawstoriadau fel sha1 a sha256 ac yn rheoli'r HMAC sy'n dilysu pecynnau'r twnnel. Mae'r maes user-auth-method yn dewis pap neu mschap2 ac yn penderfynu sut mae'r llwybrydd yn cyflwyno manylion mewngofnodi'r defnyddiwr i RADIUS. Ni all newid trawstoriad newid yr ail ymddygiad, a dyna pam mae'r un gwrthodiad yn goroesi pob addasiad i'r cyntaf.

Stopiwch yma os nad yw eich rhyddhau yn datgelu user-auth-method o gwbl. Efallai na fydd adeilediadau RouterOS hŷn yn ei gynnig ar y gweinydd OpenVPN, ac mae'r cywiriad yn perthyn i ryddhau y gallwch ei gefnogi, nid i orchymyn a gopïwyd o un mwy newydd.

Cam 2: dewch o hyd i'r polisi a wrthododd y mewngofnod mewn gwirionedd

Ar ochr NPS, mae cais cysylltiad yn cael ei werthuso yn erbyn polisïau rhwydwaith, a rhaid i'r dull dilysu a enwir yn y polisi cyfatebol fod yn un a gynigiwyd gan y cleient mewn gwirionedd. Cysylltwch un mewngofnod wedi methu yn ôl amser a defnyddiwr yn lle darllen cyfrif cryno. Mae'r log diogelwch yn cofnodi ceisiadau a ganiatawyd ac a wrthodwyd gyda chod rheswm, sy'n dweud llawer mwy wrthych na llinell fethiant gyffredinol y llwybrydd.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Darllenwch dri pheth yn y digwyddiad: enw'r polisi cyfatebol, y dull dilysu a'r cod rheswm. Mae polisi sy'n gofyn am MS-CHAPv2 yn gwrthod cais PAP hyd yn oed pan fydd y cyfrinair yn gywir, ac mae polisi sy'n gofyn am gyfrif parth yn gwrthod un lleol. Rhaid i gofnod cleient RADIUS hefyd gyd-fynd ag anwythiad y llwybrydd, neu bydd y cais yn cael ei ollwng cyn i unrhyw bolisi gael ei ystyried. Nid oes dim o hynny'n ymddangos yn y log OpenVPN.

Stopiwch yma os nad yw'r cais byth yn cyrraedd NPS. Problem cyfrinach a rennir, anwythiad cleient neu UDP 1812 yw hon, ac ni fydd newid dulliau dilysu yn ei thrwsio.

Cam 3: newidiwch un dull, ar y ddwy ochr

Os mai MS-CHAPv2 yw'r dyluniad a gymeradwywyd, gosodwch ef ar y llwybrydd a chadarnhewch fod y polisi cyfatebol yn ei dderbyn. Newidiwch un ochr, ailbrofwch, yna newidiwch y llall; mae newid y ddwy ar unwaith yn eich gadael heb allu dweud pa un a oedd o bwys.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Peidiwch â galluogi pob dull gwannach ar NPS i wneud i'r gwall ddiflannu. Rhaid i'r backend ddal deunydd y gall y dull a ddewiswyd ei wirio: mae MS-CHAPv2 angen mynediad at y cyfrinair neu'r parth, ac ni all polisi ddyfeisio'r deunydd hwnnw. Mae lledaenu'r polisi hefyd yn lledaenu'r hyn y gall ymosodwr ei geisio yn erbyn yr un cyfrif. Cofnodwch y dull, enw'r polisi a chyfeirnod y newid gyda'i gilydd, fel bod y person nesaf yn etifeddu penderfyniad yn hytrach na dyfaliad.

Cadwch ddilysu tystysgrif y twnnel yn union fel yr oedd. Nid yw dull manylion mewngofnodi yn cymryd lle hunaniaeth y gweinydd, ac mae gostwng gwiriadau TLS i wneud i brawf basio yn cyfnewid un broblem am un waeth.

Cam 4: profwch dri mewngofnod ac un caniatâd

Profwch ddefnyddiwr a ganiateir, cyfrinair anghywir a defnyddiwr sydd wedi'i eithrio, pob un mewn sesiwn newydd. Mae'r cyntaf yn profi'r llwybr, mae'r ail yn profi bod y gwiriad manylion mewngofnodi yn real, ac mae'r trydydd yn profi bod y polisi'n dal i eithrio pwy y dylai. Gall sesiwn wedi'i chachestorio guddio'r tri, felly datgysylltwch rhwng ymdrechion.

/log print where topics~"ovpn"
/radius monitor 0

Nid yw llwyddiant dilysu yn ddiwedd y rhestr. Gwiriwch yr anwythiad a gafodd y cleient a'r adnoddau y gall yr anwythiad hwnnw eu cyrraedd, oherwydd gall defnyddiwr ddilysu'n gywir ac eto lanio yn y pwll anghywir. Os yw'r anwythiad a neilltuwyd yn anghywir, mae'r broblem yn y proffil neu yn nodweddion ateb RADIUS, nid yn y dull. Cadarnhewch y ddau cyn cau'r tocyn.

Mae'r rhestr wedi'i chwblhau pan fydd gosodiad y llwybrydd a pholisi NPS yn enwi'r un dull, un defnyddiwr a ganiateir yn cysylltu mewn sesiwn newydd, un cyfrinair anghywir yn cael ei wrthod, un defnyddiwr sydd wedi'i eithrio yn dal i fod wedi'i eithrio, ac mae'r anwythiad a neilltuwyd yn cyfateb i'r pwll a fwriadwyd. Mae unrhyw beth llai yn gadael y mewngofnod nesaf i siawns.