RouterOS OpenVPN και NPS: ορίστε user-auth-method, όχι auth

Στο RouterOS το auth επιλέγει τη σύνοψη της σήραγγας, ενώ το user-auth-method καθορίζει πώς ελέγχεται το αίτημα RADIUS. Ευθυγραμμίστε το δεύτερο με την πολιτική NPS.

Το RouterOS μπορεί να φτάσει στο NPS με σύνδεση OpenVPN και να απορριφθεί παρ' όλα αυτά, και η συνήθης αιτία είναι δύο ρυθμίσεις των οποίων τα ονόματα ακούγονται και τα δύο σαν ταυτοποίηση. Η μία επιλέγει κρυπτογραφική σύνοψη για τη σήραγγα· η άλλη καθορίζει πώς τα διαπιστευτήρια του χρήστη παρουσιάζονται στο RADIUS. Η αλλαγή της σύνοψης δεν θα μετατρέψει ποτέ ένα αίτημα PAP σε MS-CHAPv2, όσες φορές κι αν επανεκκινήσει η υπηρεσία. Η λίστα ελέγχου παρακάτω χωρίζει τα δύο και στη συνέχεια ακολουθεί μία αποτυχημένη σύνδεση μέσα από την πολιτική NPS που την έκρινε.

Βήμα 1: διαβάστε και τις δύο ρυθμίσεις πριν αλλάξετε οποιαδήποτε

Εκτυπώστε την ενεργή διαμόρφωση του διακομιστή OpenVPN στον δρομολογητή που τερματίζει τη σήραγγα, όχι από αντίγραφο ασφαλείας ή αντιγραμμένη δημοσίευση φόρουμ. Τα δύο πεδία που σας ενδιαφέρουν βρίσκονται συνήθως στο ίδιο μενού και διαβάζονται σαν να ήταν εναλλακτικές. Δεν είναι: το ένα αφορά το κανάλι δεδομένων, το άλλο την ανταλλαγή διαπιστευτηρίων.

/interface ovpn-server server print
/interface ovpn-server server export

Το πεδίο auth απαριθμεί συνόψεις όπως sha1 και sha256 και ελέγχει το HMAC που ταυτοποιεί τα πακέτα της σήραγγας. Το πεδίο user-auth-method επιλέγει pap ή mschap2 και καθορίζει πώς ο δρομολογητής παρουσιάζει τα διαπιστευτήρια του χρήστη στο RADIUS. Μια αλλαγή σύνοψης δεν μπορεί να αλλάξει τη δεύτερη συμπεριφορά, γι' αυτό η ίδια απόρριψη επιβιώνει σε κάθε ρύθμιση της πρώτης.

Σταματήστε εδώ αν η έκδοσή σας δεν εκθέτει καθόλου το user-auth-method. Παλαιότερες εκδόσεις RouterOS μπορεί να μην το προσφέρουν στον διακομιστή OpenVPN, και η διόρθωση ανήκει σε μια έκδοση που μπορείτε να υποστηρίξετε, όχι σε εντολή αντιγραμμένη από νεότερη.

Βήμα 2: βρείτε την πολιτική που απέρριψε πραγματικά τη σύνδεση

Στην πλευρά του NPS, ένα αίτημα σύνδεσης αξιολογείται με βάση τις πολιτικές δικτύου, και η μέθοδος ταυτοποίησης που αναφέρεται στην αντίστοιχη πολιτική πρέπει να είναι μία από αυτές που πρόσφερε πραγματικά ο πελάτης. Συσχετίστε μία αποτυχημένη σύνδεση κατά χρόνο και χρήστη αντί να διαβάζετε ένα συνολικό πλήθος. Το αρχείο ασφαλείας καταγράφει τα εγκριθέντα και απορριφθέντα αιτήματα με κωδικό αιτίας, που σας λέει πολύ περισσότερα από τη γενική γραμμή αποτυχίας του δρομολογητή.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Διαβάστε τρία πράγματα στο συμβάν: το όνομα της αντίστοιχης πολιτικής, τη μέθοδο ταυτοποίησης και τον κωδικό αιτίας. Μια πολιτική που απαιτεί MS-CHAPv2 απορρίπτει αίτημα PAP ακόμη και όταν ο κωδικός είναι σωστός, και μια πολιτική που απαιτεί λογαριασμό τομέα απορρίπτει τοπικό. Η καταχώριση πελάτη RADIUS πρέπει επίσης να ταιριάζει με τη διεύθυνση προέλευσης του δρομολογητή, αλλιώς το αίτημα απορρίπτεται πριν εξεταστεί οποιαδήποτε πολιτική. Τίποτα από αυτά δεν εμφανίζεται στο αρχείο του OpenVPN.

Σταματήστε εδώ αν το αίτημα δεν φτάνει ποτέ στο NPS. Πρόκειται για πρόβλημα κοινού μυστικού, διεύθυνσης πελάτη ή UDP 1812, και η αλλαγή μεθόδων ταυτοποίησης δεν θα το διορθώσει.

Βήμα 3: αλλάξτε μία μέθοδο, και στις δύο πλευρές

Αν το εγκεκριμένο σχέδιο είναι MS-CHAPv2, ορίστε το στον δρομολογητή και επιβεβαιώστε ότι η αντίστοιχη πολιτική το δέχεται. Αλλάξτε τη μία πλευρά, δοκιμάστε ξανά και μετά αλλάξτε την άλλη· αν αλλάξετε και τις δύο μαζί, δεν θα μπορείτε να πείτε ποια είχε σημασία.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Μην ενεργοποιήσετε κάθε ασθενέστερη μέθοδο στο NPS για να εξαφανιστεί το σφάλμα. Το backend πρέπει να διαθέτει υλικό που μπορεί να επαληθεύσει η επιλεγμένη μέθοδος: το MS-CHAPv2 χρειάζεται πρόσβαση στον κωδικό ή στον τομέα, και μια πολιτική δεν μπορεί να επινοήσει αυτό το υλικό. Η διεύρυνση της πολιτικής διευρύνει και το τι μπορεί να δοκιμάσει ένας επιτιθέμενος κατά του ίδιου λογαριασμού. Καταγράψτε τη μέθοδο, το όνομα της πολιτικής και την αναφορά αλλαγής μαζί, ώστε ο επόμενος άνθρωπος να κληρονομήσει μια απόφαση αντί για μια εικασία.

Κρατήστε την επικύρωση πιστοποιητικού της σήραγγας ακριβώς όπως ήταν. Μια μέθοδος διαπιστευτηρίων δεν υποκαθιστά την ταυτότητα του διακομιστή, και το να χαμηλώσετε τους ελέγχους TLS για να περάσει μια δοκιμή ανταλλάσσει ένα πρόβλημα με χειρότερο.

Βήμα 4: δοκιμάστε τρεις συνδέσεις και μία άδεια

Δοκιμάστε έναν επιτρεπόμενο χρήστη, έναν λάθος κωδικό και έναν αποκλεισμένο χρήστη, καθέναν σε νέα συνεδρία. Ο πρώτος αποδεικνύει τη διαδρομή, ο δεύτερος αποδεικνύει ότι ο έλεγχος διαπιστευτηρίων είναι πραγματικός, και ο τρίτος αποδεικνύει ότι η πολιτική εξακολουθεί να αποκλείει όποιον πρέπει. Μια συνεδρία σε προσωρινή μνήμη μπορεί να κρύψει και τα τρία, γι' αυτό αποσυνδεθείτε μεταξύ των προσπαθειών.

/log print where topics~"ovpn"
/radius monitor 0

Η επιτυχής ταυτοποίηση δεν είναι το τέλος της λίστας. Ελέγξτε τη διεύθυνση που έλαβε ο πελάτης και τους πόρους που μπορεί να φτάσει αυτή η διεύθυνση, γιατί ένας χρήστης μπορεί να ταυτοποιηθεί σωστά και να καταλήξει στη λάθος δεξαμενή. Αν η εκχωρημένη διεύθυνση είναι λάθος, το πρόβλημα βρίσκεται στο προφίλ ή στα χαρακτηριστικά της απάντησης RADIUS, όχι στη μέθοδο. Επιβεβαιώστε και τα δύο πριν κλείσετε το δελτίο.

Η λίστα ολοκληρώνεται όταν η ρύθμιση του δρομολογητή και η πολιτική NPS ονομάζουν την ίδια μέθοδο, ένας επιτρεπόμενος χρήστης συνδέεται με νέα συνεδρία, ένας λάθος κωδικός απορρίπτεται, ένας αποκλεισμένος χρήστης παραμένει αποκλεισμένος και η εκχωρημένη διεύθυνση ταιριάζει με τη δεξαμενή που προοριζόταν. Οτιδήποτε λιγότερο αφήνει την επόμενη σύνδεση στην τύχη.

Σχετικά άρθρα