Σκληρύνση VPN στα Windows: διορθώστε τον έλεγχο ταυτότητας πριν από τη σήραγγα

Ο διακομιστής VPN σας στα Windows ζητά όνομα χρήστη και κωδικό πρόσβασης, και αυτό το ένα παράθυρο διαλόγου κρύβει τρία άσχετα καθήκοντα. Ένα αποδεικνύει ποιος είναι ο άνθρωπος, ένα εμποδίζει την αναπαραγωγή αυτής της απόδειξης από κάποιον που παρακολουθεί το δίκτυο, και ένα αποφασίζει σε ποιες διευθύνσεις επιτρέπεται να φτάσει μετά. Οι περισσότερες μικρές εγκαταστάσεις σκληρύνουν πρώτα τη σήραγγα και αφήνουν τα δύο πρώτα καθήκοντα στις προεπιλογές τους, που είναι η λάθος σειρά.

Δουλέψτε με τη σειρά που δουλεύει ο επιτιθέμενος. Πρώτα έρχεται ό,τι μπορεί να υποκλαπεί από το δίκτυο. Μετά ό,τι μπορεί να αναπαραχθεί αργότερα με αυτή την καταγραφή. Τέλος, ό,τι μπορεί να φτάσει ένας πιστοποιημένος επιτιθέμενος όταν είναι πια μέσα.

Τρία καθήκοντα, ένα παράθυρο διαλόγου

Η ταυτότητα είναι το κομμάτι που σκέφτονται οι άνθρωποι, και είναι μόνο το ένα τρίτο του προβλήματος. Η απόδειξη ταυτότητας πρέπει να αντέχει σε έναν παρατηρητή που καταγράφει την ανταλλαγή και ξαναπροσπαθεί αργότερα. Η εξουσιοδότηση είναι ξεχωριστή απόφαση που παίρνει ο διακομιστής αφού καθοριστεί η ταυτότητα, και τα Windows τη φυλάσσουν σε άλλη υπηρεσία από εκείνη που επικυρώνει τα διαπιστευτήρια.

Όταν και τα τρία ζουν σε ένα κουβά στο μυαλό, το συνηθισμένο αποτέλεσμα είναι ένας διακομιστής που αυθεντικοποιεί ισχυρά και μετά επιτρέπει στον χρήστη να φτάσει παντού. Το να το διορθώσεις αργότερα είναι δυσκολότερο από το να αποφασίσεις τώρα την πολιτική, γιατί μέχρι τότε το προφίλ του τείχους προστασίας, η δεξαμενή διευθύνσεων και οι διαδρομές κωδικοποιούν όλα την παλιά παραδοχή.

Διαχωρίστε τα τρία στις σημειώσεις σας πριν αγγίξετε οποιαδήποτε ρύθμιση και μετά διορθώστε τα από τον ασθενέστερο κρίκο και πάνω.

Γιατί το MS-CHAPv2 δεν αντέχει σε δοκιμή αναπαραγωγής

Αν ο διακομιστής εξακολουθεί να δέχεται PPTP με MS-CHAPv2, η σήραγγα δεν προστατεύει τον κωδικό πρόσβασης με καμία ουσιαστική έννοια. Η πρόκληση και η απόκριση μπορούν να υποκλαπούν και να δεχτούν επίθεση εκτός σύνδεσης, και το 2012 μια δημόσια υπηρεσία σπασίματος έδειξε ανάκτηση από μια τέτοια χειραψία σε περίπου μία ημέρα για έναν τυπικό κωδικό. Ένας μακρύτερος και πιο σύνθετος κωδικός ανεβάζει το κόστος· δεν αφαιρεί το υλικό που χρειάζεται ο επιτιθέμενος από το δίκτυο.

Η ιδιότητα που θέλετε είναι διαπιστευτήριο που δεν μπορεί να αναπαραχθεί. Το EAP-TLS με πιστοποιητικά πελάτη δίνει σε κάθε συσκευή τη δική της ταυτότητα και σας επιτρέπει να ανακαλέσετε ακριβώς μία συσκευή.

Η ανάπτυξη πιστοποιητικών είναι πραγματική δουλειά: μια ιδιωτική CA, μια διαδρομή ανάκλησης που ελέγχουν οι πελάτες και ένα σχέδιο ανανέωσης που αντέχει στην εναλλαγή προσωπικού. Αντιμετωπίστε αυτή τη δουλειά ως το έργο και όχι ως εμπόδιο ανάμεσα σε εσάς και μια λειτουργική σήραγγα. Προϋπολογίστε την όπως θα προϋπολογίζατε την αντικατάσταση ενός τείχους προστασίας. Ένας κοινός κωδικός είναι φθηνότερος μόνο μέχρι την πρώτη ανάκληση.

Ένα προκοινόχρηστο κλειδί πιστοποιεί το ζεύγος, όχι το πρόσωπο

L2TP/IPsec με προκοινόχρηστο κλειδί αποδεικνύει ότι δύο πύλες γνωρίζουν το ίδιο μυστικό. Δεν λέει τίποτα για το ποιος άνθρωπος συνδέεται και δεν μπορεί να ξεχωρίσει έναν εργαζόμενο από έναν άλλο σε αυτό το επίπεδο. Χρησιμοποιήστε μια μεγάλη τυχαία τιμή, πολύ πάνω από τους δέκα χαρακτήρες που προτείνουν ορισμένοι οδηγοί, γιατί όποιος υποκλέψει τη χειραψία μπορεί να επιτεθεί στο κλειδί εκτός σύνδεσης.

Κάθε πελάτης σε αυτό το προφίλ μοιράζεται το μυστικό, οπότε η αφαίρεση ενός ατόμου σημαίνει αναδιανομή του σε όλους τους υπόλοιπους. Κρατήστε ένα ξεχωριστό βήμα ελέγχου ταυτότητας χρήστη πάνω από το μυστικό επιπέδου μηχανής και περάστε σε πιστοποιητικά καθώς μεγαλώνει ο πληθυσμός των πελατών. Ένα προκοινόχρηστο κλειδί σε συνδυασμό με MS-CHAPv2 είναι δύο αδύναμα στρώματα και το δεύτερο ακυρώνει το πρώτο.

Η εξουσιοδότηση ανήκει στον Network Policy Server

Το NPS στα Windows αποφασίζει ποιος επιτρέπεται να συνδεθεί, και το κάνει αφού ο έλεγχος ταυτότητας έχει ήδη πετύχει. Αυτός ο διαχωρισμός είναι ο πιο χρήσιμος έλεγχος σκλήρυνσης στο προϊόν, και πολλές εγκαταστάσεις τον αφήνουν ανέγγιχτο.

Χρησιμοποιήστε συνθήκες πολιτικής που αντικατοπτρίζουν πραγματικούς περιορισμούς: ιδιότητα μέλους ομάδας, το χρονικό παράθυρο κατά το οποίο στελεχώνεται η υποστήριξη και την κατάσταση της συσκευής από έλεγχο υγείας. Προσθέστε δεύτερο παράγοντα όπου τα δεδομένα δικαιολογούν την τριβή, και θυμηθείτε ότι η πολιτική αξιολογείται για κάθε απόπειρα σύνδεσης, γεγονός που την κάνει ζωντανό έλεγχο και όχι έγγραφο.

Η λογιστική RADIUS σας δίνει επίσης μία εγγραφή για το ποιος συνδέθηκε και πότε. Αυτό το αρχείο είναι η διαφορά ανάμεσα σε ανασκόπηση περιστατικού και σε εικασία, και υπάρχει είτε το διαβάσει ποτέ κάποιος είτε όχι.

Περιορίστε πού μπορεί να φτάσει μια επιτυχημένη σύνδεση

Ο προσαρμογέας VPN πρέπει να προσγειώνεται σε προφίλ τείχους προστασίας που επιτρέπει τις υπηρεσίες που χρειάζεται ο ρόλος του και όχι ολόκληρο το υποδίκτυο. Το ζήτημα της δρομολόγησης είναι ξεχωριστό από το φιλτράρισμα. Μια πλήρης σήραγγα προστατεύει τη συσκευή του πελάτη και στέλνει κάθε byte μέσα από τη ζεύξη σας, ενώ μια διαχωρισμένη σήραγγα κρατά την τοπική κίνηση τοπική και εκθέτει τη συσκευή σε όποιο δίκτυο τυγχάνει να βρίσκεται.

Καμία από τις δύο επιλογές δεν είναι προεπιλογή ασφαλείας. Και οι δύο πρέπει να γραφτούν δίπλα στο προφίλ τείχους προστασίας που προϋποθέτουν.

Επαληθεύστε τις διαδρομές αποτυχίας

Δοκιμάστε τι πρέπει να σπάσει: λάθος κωδικό, ληγμένο πιστοποιητικό, ανακλημένη συσκευή, χρήστη εκτός ομάδας. Κάθε ένα πρέπει να αποτυγχάνει σε διαφορετικό σημείο, και το αρχείο καταγραφής πρέπει να λέει ποιο ήταν. Τρέξτε το σύνολο πρώτα σε δοκιμαστικό λογαριασμό και μετά επαναλάβετε το για πραγματικό χρήστη. Μια απόρριψη που καταλήγει στο αρχείο συμβάντων χωρίς αιτία αξίζει διόρθωση πολύ πριν χρειαστείτε την εγγραφή.

Στη συνέχεια επιβεβαιώστε ποιες θύρες δημοσιεύονται και γιατί. Το PPTP χρειάζεται TCP 1723 και GRE ως πρωτόκολλο IP και όχι ως θύρα, το IKEv2 χρειάζεται UDP 500 και 4500, και το L2TP χρειάζεται UDP 1701 συν IPsec. Το να εκθέσετε μια διεπαφή διαχείρισης για να συνδεθεί ένας πελάτης δεν είναι επισκευή, είναι δεύτερο περιστατικό που περιμένει να ανακαλυφθεί.

Τέλος, αποφασίστε τι καταγράφει ο διακομιστής και για πόσο καιρό. Ένα τελικό σημείο χωρίς ιστορικό ελέγχου ταυτότητας δεν μπορεί να απαντήσει στην πρώτη ερώτηση μετά από ένα περιστατικό, δηλαδή αν η απόπειρα είχε ποτέ εγκριθεί.