Caledu VPN Windows: trwsiwch y dilysu cyn y twnnel

Mae eich gweinydd VPN Windows yn gofyn am enw defnyddiwr a chyfrinair, ac mae’r un deialog hon yn cuddio tri dyletswydd di-gysylltiad. Mae un yn profi pwy yw’r person, mae un yn cadw’r prawf hwnnw rhag cael ei ailchwarae gan rywun sy’n gwylio’r we, ac mae un yn penderfynu pa gyfeiriadau y caiff fynd atynt wedyn. Mae’r rhan fwyaf o osodiadau bach yn caledu’r twnnel yn gyntaf ac yn gadael y ddau ddyletswydd gyntaf ar eu gwerthoedd diofyn, sef y drefn anghywir.

Gweithiwch yn y drefn y mae’r ymosodwr yn gweithio ynddi. Yn gyntaf daw’r hyn y gellir ei ddal o’r we. Yna’r hyn y gellir ei ailchwarae’n ddiweddarach â’r dal hwnnw. Yn olaf, yr hyn y gall ymosodwr dilysedig ei gyrraedd ar ôl bod y tu mewn.

Tri dyletswydd, un deialog

Hunaniaeth yw’r rhan y mae pobl yn meddwl amdani, a dim ond traean y broblem yw hi. Rhaid i brawf hunaniaeth oroesi sylwedydd sy’n cofnodi’r cyfnewid ac yn ceisio eto’n ddiweddarach. Mae awdurdodi’n benderfyniad ar wahân y mae’r gweinydd yn ei wneud ar ôl i hunaniaeth gael ei setlo, ac mae Windows yn ei gadw mewn gwasanaeth gwahanol i’r un sy’n dilysu cymwysterau.

Pan fo’r tri yn byw mewn un bwc meddwl, y canlyniad arferol yw gweinydd sy’n dilysu’n gryf ac yna’n caniatáu i’r defnyddiwr gyrraedd popeth. Mae trwsio hynny’n ddiweddarach yn anoddach na phenderfynu’r polisi nawr, oherwydd erbyn hynny mae’r proffil wal dân, y pwll cyfeiriadau a’r llwybrau i gyd yn amgodio’r hen dybiaeth.

Gwahanwch y tri yn eich nodiadau cyn cyffwrdd ag unrhyw osodiad, yna trwsiwch nhw o’r ddolen wannaf i fyny.

Pam na all MS-CHAPv2 oroesi prawf ailchwarae

Os yw’r gweinydd yn dal i dderbyn PPTP gyda MS-CHAPv2, nid yw’r twnnel yn gwarchod y cyfrinair mewn unrhyw ffordd ystyrlon. Gellir dal yr her a’r ymateb a’u hymosod oddi ar-lein, ac yn 2012 dangosodd gwasanaeth cracio cyhoeddus adferiad o gyfnewidiad o’r fath mewn tua diwrnod ar gyfer cyfrinair nodweddiadol. Mae cyfrinair hirach a mwy cymhleth yn codi’r gost; nid yw’n symud y deunydd y mae’r ymosodwr ei angen o’r rhwydwaith.

Y nodwedd rydych ei eisiau yw cymhwyster na ellir ei ailchwarae. Mae EAP-TLS gyda thystysgrifau cleient yn rhoi hunaniaeth unigryw i bob dyfais ac yn caniatáu ichi ddiddymu un ddyfais yn union.

Mae defnyddio tystysgrifau yn waith go iawn: CA preifat, llwybr diddymu y mae cleientiaid yn ei wirio, a chynllun adnewyddu sy’n goroesi trosiant staff. Triniwch y gwaith hwnnw fel y prosiect yn hytrach nag fel rhwystr rhyngoch chi a thwnnel sy’n gweithio. Cyllidebwch ar ei gyfer fel y byddech yn cyllidebu ar gyfer ailosod wal dân. Dim ond tan y diddymiad cyntaf y mae cyfrinair a rennir yn rhatach.

Mae allwedd a rennir ymlaen llaw yn dilysu’r pâr, nid y person

L2TP/IPsec gydag allwedd a rennir ymlaen llaw yn profi bod dau borth yn gwybod yr un gyfrinach. Nid yw’n dweud dim am ba ddyn sy’n cysylltu, ac ni all wahaniaethu un gweithiwr oddi wrth y llall ar y haen honno. Defnyddiwch werth ar hap hir, ymhell y tu hwnt i’r deg nod y mae rhai canllawiau yn eu hawgrymu, oherwydd gall unrhyw un sy’n dal y cyfnewidiad ymosod ar yr allwedd oddi ar-lein.

Mae pob cleient ar y proffil hwnnw’n rhannu’r gyfrinach, felly mae tynnu un person yn golygu ei hailddosbarthu i bawb arall sy’n aros. Cadwch gam dilysu defnyddiwr ar wahân uwchben cyfrinach lefel y peiriant, a symudwch at dystysgrifau wrth i’r boblogaeth gleientiaid dyfu. Mae allwedd a rennir ymlaen llaw ynghyd â MS-CHAPv2 yn ddau haen wan, ac mae’r ail yn dadwneud y cyntaf.

Mae awdurdodi’n perthyn i Network Policy Server

Mae NPS ar Windows yn penderfynu pwy gaiff gysylltu, ac mae’n gwneud hynny ar ôl i ddilysu lwyddo’n barod. Y gwahanu hwnnw yw’r rheolaeth galedu fwyaf defnyddiol yn y cynnyrch, ac mae llawer o osodiadau’n ei adael heb ei gyffwrdd.

Defnyddiwch amodau polisi sy’n adlewyrchu cyfyngiadau gwirioneddol: aelodaeth grŵp, y ffenestr amser pan fo cymorth yn cael ei staffio, a chyflwr y dyfais o wiriad iechyd. Ychwanegwch ail ffactor lle mae’r data’n cyfiawnhau’r ffrithiant, a chofiwch fod y polisi’n cael ei werthuso fesul ymgais gysylltu, sy’n ei wneud yn reolaeth fyw yn hytrach na dogfen.

Mae cyfrifyddu RADIUS hefyd yn rhoi un cofnod ichi o bwy a gysylltodd a phryd. Y cofnod hwnnw yw’r gwahaniaeth rhwng adolygiad digwyddiad a dyfaliad, ac mae’n bodoli p’un a oes unrhyw un yn ei ddarllen ai peidio.

Cyfyngwch beth y gall mewngofnod llwyddiannus ei gyrraedd

Dylai’r addasydd VPN lanio mewn proffil wal dân sy’n caniatáu’r gwasanaethau y mae ei rôl eu hangen yn hytrach na’r is-rwydwaith cyfan. Mae’r cwestiwn llwybro ar wahân i hidlo. Mae twnnel llawn yn gwarchod dyfais y cleient ac yn gwthio pob beit trwy eich dolen lan, tra bod twnnel hollt yn cadw traffig lleol yn lleol ac yn amlygu’r ddyfais i ba rwydwaith bynnag y digwydd bod ynddi.

Nid yw’r un ddewis yn osodiad diofyn diogelwch. Mae angen ysgrifennu’r ddau wrth ochr y proffil wal dân y maen nhw’n ei dybio.

Gwiriwch y llwybrau methiant

Profwch beth ddylai dorri: cyfrinair anghywir, tystysgrif sydd wedi dod i ben, dyfais a ddiddymwyd, defnyddiwr y tu allan i’r grŵp. Dylai pob un fethu ar bwynt gwahanol, a dylai’r log ddweud pa un oedd. Rhedwch y set yn erbyn cyfrif prawf yn gyntaf, yna ei hailadrodd ar gyfer defnyddiwr go iawn. Mae gwrthodiad sy’n glanio yn y log digwyddiadau heb reswm yn werth ei drwsio ymhell cyn i chi fod ei angen y cofnod.

Yna cadarnhewch pa borthladdoedd sy’n cael eu cyhoeddi a pham. Mae PPTP angen TCP 1723 a GRE fel protocol IP yn hytrach na phorthladd, mae IKEv2 angen UDP 500 a 4500, ac mae L2TP angen UDP 1701 ynghyd ag IPsec. Nid yw amlygu rhyngwyneb rheoli fel y bydd cleient yn cysylltu’n atgyweiriad, mae’n ail ddigwyddiad sy’n aros i gael ei ddarganfod.

Yn olaf, penderfynwch beth mae’r gweinydd yn ei gofnodi a pha mor hir. Ni all pwynt terfyn heb hanes dilysu ateb y cwestiwn cyntaf ar ôl digwyddiad, sef a oedd yr ymgais erioed wedi cael ei hawdurdodi.