PPTP/MS-CHAPv2 abschalten: Runbook für ein Alt-VPN

Passwörter mit zwanzig Zeichen, monatlich gewechselt und in einem Tresor aufbewahrt, machen aus einem PPTP-Server mit MS-CHAPv2 kein modernes VPN. Das Passwort ist eine Eingabe in einen Austausch, dessen Schwäche im Austausch selbst liegt. Dieses Runbook ist für alle, die den Server geerbt haben und die Benutzer davon wegbringen müssen, ohne den Standort abzuschneiden, der davon abhängt. Arbeiten Sie die Schritte der Reihe nach ab, denn jeder hinterlässt eine Aufzeichnung, die Sie brauchen werden, wenn jemand fragt, warum sich der Zugang plötzlich geändert hat.

Schreiben Sie den Stack auf, bevor Sie irgendetwas anfassen

Drei Schichten werden in dem Wort PPTP zusammengefasst, und jede versagt auf ihre eigene Weise. Der Tunnel ist PPTP selbst, GRE plus TCP 1723. Die Authentifizierung ist die PPP-Methode, die der Server anbietet, hier MS-CHAPv2. Der Verbindungsschutz ist MPPE, dessen Schlüssel aus diesem Authentifizierungsaustausch abgeleitet werden. Alle drei zu benennen verhindert, dass eine spätere Korrektur auf der falschen Schicht landet.

Lesen Sie die laufende Konfiguration, statt einer Wikiseite zu vertrauen, und notieren Sie die Datei, den Listener und die letzten Sitzungen, die sich authentifiziert haben.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Bei einer Windows-Rolle für den Fernzugriff kommt dieselbe Bestandsaufnahme aus zwei Befehlen, und der zweite ist wichtig, weil eine Rolle mehrere Methoden gleichzeitig anbieten kann, während die Clients im Feld immer nur die schwächste aushandeln.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Entscheiden Sie, was der Tunnel heute tatsächlich trägt

Listen Sie die Nutzer auf, bevor Sie einen Ersatz wählen: reisende Laptops, ein Filialrouter, ein Zahlungsterminal, eine Reihe von Feldtablets. Ein Nutzer, der nur einen internen Host erreichen muss, ist leicht umzuziehen. Ein Nutzer, der in Hardware eingebettet ist, die Sie nicht neu flashen können, braucht vielleicht ein zwischengeschaltetes Gateway statt eines Client-Upgrades, und diese Entscheidung gehört in den Plan, nicht mitten in die Umstellung.

Fragen Sie dann, was ein Angreifer bekäme, der den Anmeldeaustausch beobachten oder beeinflussen kann. Bei MS-CHAPv2 enthält die Antwort Material, das eine Offline-Wiederherstellung des Benutzerpassworts erlaubt, und genau deshalb reparieren Länge und Rotation das Design nicht: das wiederhergestellte Geheimnis gilt auf jedem System, auf dem der Benutzer es wiederverwendet hat.

MPPE erbt dieselbe Schwäche, da seine Schlüssel aus diesem Austausch stammen, und es gibt Ihnen weder die Integrität pro Paket noch das Wiederholungsverhalten einer modernen AEAD-Chiffre. Eine Sitzung, die sauber authentifiziert, hat Kompatibilität mit den konfigurierten Prüfungen bewiesen und nichts weiter.

Weder eine kurze Mittagspause noch eine kleine Benutzerzahl verwandelt eine kryptografische Eigenschaft in eine politische.

Führen Sie die Migration in einem Wartungsfenster durch

Stellen Sie den Ersatz auf, belegen Sie ihn mit einer Pilotgruppe, und stoppen Sie dann den alten Listener, statt ihn als stillen Rückfall stehen zu lassen. Ein Rückfall, den jeder noch erreichen kann, ist keine Migration, und er hält den schwachen Austausch genau für die Benutzer verfügbar, die sich nie die Mühe machen zu wechseln.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Schließen Sie den Firewall-Pfad im selben Fenster. GRE hat keinen Port, den man sich merken müsste, daher ist eine Regel, die Protokoll 47 nach Nummer erlaubt, leicht zu übersehen, und sie lässt den Dienst erreichbar, auch nachdem der Daemon verschwunden ist. Notieren Sie die entfernte Regel, ihre vorherige Position und den Grund, damit eine spätere Änderungsprüfung sie nicht versehentlich wiederherstellt.

Behandeln Sie Zugangsdaten getrennt von der Konfiguration. Das Entfernen eines Clientprofils ist kein Widerruf, und ein Konto, das sich anderswo noch authentifiziert, ist nicht außer Betrieb genommen.

Prüfen Sie, ob der Ersatz die Aufgaben erfüllt, die PPTP erfüllte

Die Checkliste lautet nicht „verbindet es“. Sie lautet, ob Authentifizierung, Adresszuweisung, DNS-Auflösung, Routenwahl, Wiederverbindungsverhalten und Peer-Prüfung unter dem Ersatz alle noch halten. Testen Sie jedes auf einem Pilotgerät, in dieser Reihenfolge, und schreiben Sie das beobachtete Ergebnis neben die Erwartung.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Eine Adresse auf der Schnittstelle beweist, dass die Aushandlung abgeschlossen ist. Sie beweist nicht, dass die Gegenseite die erwartete Route autorisiert hat, und die Abfrage oben antwortet nur für diesen Host, nicht für ein weitergeleitetes LAN. Eine Resolver-Antwort beweist die Erreichbarkeit eines Resolvers, nicht dass geteilte DNS-Richtlinie die richtigen Namen dorthin schickt.

Prüfen Sie die Wiederverbindung zuletzt, denn dort fallen die meisten Ersatzlösungen zurück: Versetzen Sie einen Laptop in den Ruhezustand, wechseln Sie das Netzwerk und bestätigen Sie, dass der Tunnel sich ohne zurückbleibende veraltete Routen wieder aufbaut.

Rückabwicklung, Widerruf und die Aufzeichnung, die Sie hinterlassen

Rückabwicklung stellt den Dienst wieder her; sie stellt die Sicherheit nicht wieder her, und dieser Unterschied muss laut gesagt werden, bevor das Fenster geöffnet wird. Wenn der neue Pfad ausfällt, holen Sie die Benutzer über einen zweiten modernen Endpunkt oder ein temporäres Gateway zurück, nicht indem Sie PPTP für alle wieder aktivieren. Einen Notfallpfad auf dem alten Protokoll zu behalten, erweitert die Exposition, die Sie gerade dokumentiert haben.

Widerrufen Sie nach der Umstellung die Konten, die sich über PPTP authentifiziert haben, lassen Sie ihre gespeicherten Profile ablaufen und bestätigen Sie, dass die GRE-Regel von jedem Edge-Gerät verschwunden ist, einschließlich der Notfallkopie, an die sich niemand erinnert.

Hinterlassen Sie eine kurze Aufzeichnung: die gefundenen Protokolle, das Datum, an dem jeder Listener endete, die vom Ersatz unterstützten Clientversionen und den Eigentümer, der die Entscheidung wieder öffnen kann. Passworthygiene bleibt danach wichtig, aber als Hygiene auf einem Protokoll, das sie verdient, nicht als Argument, das alte am Leben zu halten.