Hardigado de Windows VPN: riparu la aŭtentikigon antaŭ la tunelo

Via Windows VPN-servilo petas uzantnomon kaj pasvorton, kaj tiu ununura dialogo kaŝas tri malsamajn taskojn. Unu pruvas, kiu estas la persono, unu malhelpas, ke iu, kiu observas la reton, reuzu tiun pruvon, kaj unu decidas, kiujn adresojn ĝi rajtas atingi poste. Plej multaj malgrandaj instaladoj unue hardigas la tunelon kaj lasas la du unuajn taskojn ĉe iliaj defaŭltaj valoroj, kio estas la malĝusta ordo.

Laboru laŭ la ordo laŭ kiu laboras la atakanto. Unue venas tio, kion eblas kapti de la reto. Poste tio, kion eblas reludi poste per tiu registraĵo. Finfine, tio, kion aŭtentikigita atakanto povas atingi, jam estante interne.

Tri taskoj, unu dialogo

Identeco estas la parto, pri kiu homoj pensas, kaj ĝi estas nur triono de la problemo. Pruvo de identeco devas elteni observanton, kiu registras la interŝanĝon kaj reprovas poste. Aŭtorizado estas aparta decido, kiun la servilo faras post kiam la identeco estas fiksita, kaj Windows tenas ĝin en alia servo ol tiu, kiu validigas akreditaĵojn.

Kiam ĉiuj tri loĝas en unu mensa sitelo, la kutima rezulto estas servilo, kiu aŭtentikigas forte kaj poste permesas al la uzanto atingi ĉion. Ripari tion poste estas pli malfacile ol decidi la politikon nun, ĉar ĝis tiam la fajroŝirma profilo, la adresa baseno kaj la itineroj ĉiuj jam kodigas la malnovan supozon.

Apartigu la tri en viaj notoj antaŭ ol tuŝi agordon, poste riparu ilin de la plej malforta ligo supren.

Kial MS-CHAPv2 ne eltenas reludan teston

Se la servilo ankoraŭ akceptas PPTP kun MS-CHAPv2, la tunelo ne protektas la pasvorton en iu ajn senchava signifo. La defio kaj respondo povas esti kaptitaj kaj atakitaj eksterrete, kaj en 2012 publika rompanta servo montris rekupron el tia manpremo en proksimume unu tago por tipa pasvorto. Pli longa kaj pli kompleksa pasvorto altigas la koston; ĝi ne forigas la materialon, kiun atakanto bezonas de la reto.

La eco, kiun vi volas, estas akreditaĵo, kiu ne povas esti reludata. EAP-TLS kun klientaj atestiloj donas al ĉiu aparato sian propran identecon kaj ebligas al vi revoki precize unu aparaton.

Enkonduko de atestiloj estas vera laboro: privata CA, revoka vojo, kiun kontrolas klientoj, kaj renoviga plano, kiu postvivas personŝanĝojn. Traktu tiun laboron kiel la projekton, ne kiel baron inter vi kaj funkcianta tunelo. Buĝetu por ĝi tiel, kiel vi buĝetus por anstataŭigo de fajroŝirmilo. Komuna pasvorto estas pli malmultekosta nur ĝis la unua revoko.

Antaŭe dividita ŝlosilo aŭtentikigas la paron, ne la personon

L2TP/IPsec kun antaŭe dividita ŝlosilo pruvas, ke du pordegoj konas la saman sekreton. Ĝi diras nenion pri tio, kiu homo konektiĝas, kaj ĝi ne povas distingi unu dungiton de alia en tiu tavolo. Uzu longan hazardan valoron, multe super la dek signoj, kiujn iuj gvidiloj sugestas, ĉar iu ajn, kiu kaptas la manpremon, povas ataki la ŝlosilon eksterrete.

Ĉiu kliento en tiu profilo dividas la sekreton, do forigi unu personon signifas redistribui ĝin al ĉiuj ceteraj. Tenu apartan paŝon de uzantaŭtentikigo super la maŝinnivela sekreto, kaj transiru al atestiloj dum la klientaro kreskas. Antaŭe dividita ŝlosilo kombinita kun MS-CHAPv2 estas du malfortaj tavoloj, kaj la dua nuligas la unuan.

Aŭtorizado apartenas al Network Policy Server

NPS en Windows decidas, kiu rajtas konektiĝi, kaj ĝi faras tion post kiam la aŭtentikigo jam sukcesis. Tiu apartigo estas la plej utila hardiga kontrolo en la produkto, kaj multaj instaladoj lasas ĝin netuŝita.

Uzu politikajn kondiĉojn, kiuj spegulas realajn limigojn: grupanoveco, la tempa fenestro kiam subteno estas priservata, kaj aparata stato el sankontrolo. Aldonu duan faktoron kie la datumoj pravigas la froton, kaj memoru, ke la politiko estas taksata por ĉiu konektoprovo, kio igas ĝin viva kontrolo anstataŭ dokumento.

RADIUS-kontado ankaŭ donas al vi unu registron pri tio, kiu konektiĝis kaj kiam. Tiu protokolo estas la diferenco inter okazaĵa revizio kaj konjekto, kaj ĝi ekzistas sendepende de tio, ĉu iu iam legas ĝin.

Limigu, kion sukcesa ensaluto povas atingi

La VPN-adaptilo devus surteriĝi en fajroŝirma profilo, kiu permesas la servojn bezonatajn de ĝia rolo anstataŭ la tutan subreton. La itinera demando estas aparta de filtrado. Plena tunelo gardas la klientan aparaton kaj puŝas ĉiun bajton tra via suprenligo, dum dividita tunelo tenas lokan trafikon loka kaj elmetas la aparaton al kiu ajn reto, en kiu ĝi hazarde troviĝas.

Neniu el la du elektoj estas sekureca defaŭlto. Ambaŭ devas esti skribitaj apud la fajroŝirma profilo, kiun ili supozas.

Kontrolu la malsukcesajn vojojn

Testu, kio devus rompiĝi: malĝusta pasvorto, eksvalidiĝinta atestilo, revokita aparato, uzanto ekster la grupo. Ĉiu devus malsukcesi ĉe alia punkto, kaj la protokolo devus diri, kiu ĝi estis. Rulu la aron unue kontraŭ testa konto, poste ripetu ĝin por reala uzanto. Rifuzo, kiu sen kaŭzo aperas en la okazaĵa protokolo, indas ripari longe antaŭ ol vi bezonos la registraĵon.

Poste konfirmu, kiuj pordoj estas publikigitaj kaj kial. PPTP bezonas TCP 1723 kaj GRE kiel IP-protokolon anstataŭ pordon, IKEv2 bezonas UDP 500 kaj 4500, kaj L2TP bezonas UDP 1701 plus IPsec. Elmeti administran interfacon por ke kliento konektiĝu ne estas riparo, ĝi estas dua okazaĵo atendanta esti malkovrita.

Finfine, decidu, kion la servilo registras kaj por kiom longe. Finpunkto sen aŭtentikiga historio ne povas respondi la unuan demandon post okazaĵo, nome ĉu la provo iam estis rajtigita.