Forigo de PPTP/MS-CHAPv2: gvidlibro por malnova VPN

Dudek-signaj pasvortoj, ĉiumonate ŝanĝataj kaj gardataj en monŝranko, ne igas PPTP-servilon kun MS-CHAPv2 moderna VPN. La pasvorto estas enigo al interŝanĝo, kies malforto loĝas en la interŝanĝo mem. Ĉi tiu gvidlibro estas por tiu, kiu heredis tiun servilon kaj devas movi la uzantojn for de ĝi sen tranĉi la retejon, kiu dependas de ĝi. Plenumu la paŝojn en ordo, ĉar ĉiu lasas registron, kiun vi volos havi, kiam iu demandos, kial la aliro subite ŝanĝiĝis.

Skribu la stakon antaŭ ol tuŝi ion ajn

Tri tavoloj kunfaldiĝas en la vorto PPTP, kaj ĉiu malsukcesas laŭ sia maniero. La tunelo estas PPTP mem, GRE plus TCP 1723. La aŭtentigo estas tiu PPP-metodo, kiun la servilo proponas, ĉi tie MS-CHAPv2. La ligila protekto estas MPPE, kies ŝlosiloj deriviĝas el tiu aŭtentiga interŝanĝo. Nomante ĉiujn tri, posta korekto ne surteriĝos sur la malĝustan tavolon.

Legu la vivantan agordon anstataŭ fidi vikipaĝon, kaj notu la dosieron, la aŭskultanton kaj la lastajn sesiojn, kiuj aŭtentiĝis.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Ĉe Windows-rolo por fora aliro la sama inventaro venas el du komandoj, kaj la dua gravas, ĉar rolo povas anonci plurajn metodojn samtempe, dum la klientoj surkampaj ĉiam interkonsentas nur pri la plej malforta.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Decidu, kion la tunelo efektive portas hodiaŭ

Listigu la konsumantojn antaŭ ol elekti anstataŭigon: vagantaj tekkomputiloj, filia enkursigilo, paga terminalo, aro da kampaj tabulkomputiloj. Konsumanton, kiu bezonas atingi nur unu internan gastiganton, estas facile movi. Konsumanto enkonstruita en aparataron, kiun vi ne povas reflaŝi, eble bezonas interan pordegon anstataŭ klienta ĝisdatigo, kaj tiu decido apartenas al la plano, ne al la mezo de la transiro.

Poste demandu, kion ricevus atakanto, kiu povas observi aŭ influi la ensalutan interŝanĝon. Ĉe MS-CHAPv2 la respondo inkluzivas materialon, kiu ebligas senretan rekuperon de la pasvorto de la uzanto, kaj ĝuste tial longo kaj rotacio ne riparas la dezajnon: la rekuperita sekreto validas en ĉiu sistemo, kie la uzanto reuzis ĝin.

MPPE heredas la saman malforton, ĉar ĝiaj ŝlosiloj venas el tiu interŝanĝo, kaj ĝi ne donas al vi la integrecon laŭ pako nek la konduton ĉe ripeto de moderna AEAD-ĉifro. Sesio, kiu aŭtentiĝas pure, pruvis kongruecon kun la agorditaj kontroloj kaj nenion pli.

Nek mallonga tagmanĝa paŭzo nek malgranda nombro da uzantoj transformas kriptografian econ en politikan.

Plenumu la migradon ene de unu prizorga fenestro

Starigu la anstataŭigon, pruvu ĝin per unu pilota grupo, poste haltigu la malnovan aŭskultanton anstataŭ lasi ĝin kiel silentan rezervon. Rezervo, kiun ĉiu ankoraŭ povas atingi, ne estas migrado, kaj ĝi tenas la malfortan interŝanĝon disponebla ĝuste por tiuj uzantoj, kiuj neniam penas transiri.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Fermu la fajroŝirman vojon en la sama fenestro. GRE havas neniun pordon memorendan, do regulo permesanta protokolon 47 laŭ numero facile preteratentiĝas kaj lasas la servon atingebla eĉ post kiam la demono foriris. Registru la regulon, kiun vi forigis, ĝian antaŭan pozicion kaj la kialon, por ke posta ŝanĝa revizio ne restarigu ĝin hazarde.

Traktu akreditilojn aparte de la agordo. Forigo de klienta profilo ne estas revoko, kaj konto, kiu ankoraŭ aŭtentiĝas aliloke, ne estis forigita el uzo.

Kontrolu, ke la anstataŭigo faras la taskojn, kiujn PPTP faris

La kontrol-listo ne estas “ĉu ĝi konektiĝas”. Ĝi estas, ĉu aŭtentigo, adresdono, DNS-rezolucio, itin-elekto, rekonekta konduto kaj samtavola kontrolo ĉiuj ankoraŭ validas sub la anstataŭigo. Testu ĉiun sur pilota aparato, en tiu ordo, kaj skribu la observitan rezulton apud la atendo.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Adreso sur la interfaco pruvas, ke la intertraktado finiĝis. Ĝi ne pruvas, ke la fora flanko rajtigis la itinon, kiun vi atendas, kaj la supra serĉo respondas nur por ĉi tiu gastiganto, ne por plusendita LAN. Respondo de solvilo pruvas atingeblon de solvilo, ne ke disigita DNS-politiko sendas la ĝustajn nomojn tien.

Kontrolu rekonekton laste, ĉar tie plej multaj anstataŭigoj regresas: dormigu tekkomputilon, ŝanĝu retojn, kaj konfirmu, ke la tunelo restariĝas sen lasi malnoviĝintajn itinojn.

Retroiro, revoko kaj la registro, kiun vi lasas

Retroiro restarigas servon; ĝi ne restarigas sekurecon, kaj tiu diferenco devas esti dirita laŭte antaŭ ol la fenestro malfermiĝos. Se la nova vojo malsukcesas, revenigu la uzantojn per dua moderna finpunkto aŭ provizora pordego, ne per reŝalto de PPTP por ĉiuj. Teni unu krizan vojon sur la malnova protokolo plilarĝigas la elmeton, kiun vi ĵus dokumentis.

Post la transiro revoku la kontojn, kiuj aŭtentiĝis per PPTP, lasu iliajn konservitajn profilojn eksvalidiĝi, kaj konfirmu, ke la GRE-regulo malaperis de ĉiu randa aparato, inkluzive de la katastrofa kopio, kiun neniu memoras.

Lasu mallongan registron: la protokolojn, kiujn vi trovis, la daton, kiam ĉiu aŭskultanto ĉesis, la klientversiojn, kiujn la anstataŭigo subtenas, kaj la posedanton, kiu povas remalfermi la decidon. Pasvorta higieno ankoraŭ gravas poste, sed kiel higieno sur protokolo, kiu meritas ĝin, ne kiel argumento por teni la malnovan viva.