PPTP/MS-CHAPv2 kasutuselt kõrvaldamine: juhend vanale VPN-ile

Kakskümmend tähemärki pikad paroolid, mida igakuiselt vahetatakse ja hoiustatakse seifis, ei muuda MS-CHAPv2-ga PPTP-serverit kaasaegseks VPN-iks. Parool on sisend vahetusse, mille nõrkus asub vahetuses endas. See juhend on sellele, kes selle serveri päris ja peab kasutajad sellelt ära viima, lõikamata maha saiti, mis sellest sõltub. Tehke sammud järjekorras, sest igaüks jätab jälje, mida läheb vaja, kui keegi küsib, miks juurdepääs äkitselt muutus.

Kirjutage virn üles enne, kui midagi puutute

Kolm kihti surutakse sõna PPTP alla ja igaüks ebaõnnestub omamoodi. Tunnel on PPTP ise, GRE pluss TCP 1723. Autentimine on see PPP-meetod, mida server pakub, siin MS-CHAPv2. Lingikaitse on MPPE, mille võtmed tuletatakse sellest autentimisvahetusest. Kõigi kolme nimetamine hoiab hilisema paranduse sattumast valele kihile.

Lugege elavat konfiguratsiooni, mitte ärge usaldage viki lehte, ja märkige üles fail, kuulaja ja viimased sessioonid, mis autentisid.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windowsi kaugjuurdepääsu rollis tuleb sama inventuur kahest käsust ja teine on oluline, sest roll võib korraga kuulutada mitut meetodit, samal ajal kui välitöö kliendid läbiräägivad alati ainult kõige nõrgemat.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Otsustage, mida tunnel täna tegelikult kannab

Loetlege tarbijad enne asendaja valimist: rändavad sülearvutid, filiaali ruuter, makseterminal, hulk välitöö tahvelarvuteid. Tarbijat, kes peab jõudma ainult ühte sisemisse hosti, on lihtne liigutada. Tarbijat, mis on põimitud riistvarasse, mida te ei saa üle kirjutada, võib vaja minna vaheväravat kliendi uuendamise asemel, ja see otsus kuulub plaani, mitte ülemineku keskele.

Seejärel küsige, mida saaks ründaja, kes suudab sisselogimisvahetust jälgida või mõjutada. MS-CHAPv2 puhul sisaldab vastus materjali, mis võimaldab kasutaja parooli võrguühenduseta taastada, ja just seetõttu ei paranda pikkus ja rotatsioon disaini: taastatud saladus kehtib igas süsteemis, kus kasutaja seda uuesti kasutas.

MPPE pärib sama nõrkuse, kuna selle võtmed pärinevad sellest vahetusest, ja see ei anna teile kaasaegse AEAD-šifri paketipõhist terviklikkust ega kordusekäitumist. Sessioon, mis autentisub puhtalt, on tõestanud ühilduvust konfigureeritud kontrollidega ja mitte midagi enamat.

Ei lühike lõunapaus ega väike kasutajate arv muuda krüptograafilist omadust poliitiliseks.

Viige migratsioon läbi ühe hooldusakna jooksul

Püstitage asendaja, tõestage seda ühe pilootgrupiga ja seejärel peatage vana kuulaja, selle asemel et jätta see vaikseks tagavaraks. Tagavara, kuhu igaüks veel pääseb, ei ole migratsioon ja hoiab nõrga vahetuse saadaval just neile kasutajatele, kes ei vaevu kunagi üle minema.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Sulgege tulemüüri tee samas aknas. GRE-l pole porti, mida meeles pidada, seega numbri järgi protokolli 47 lubav reegel jääb kergesti märkamata ja jätab teenuse kättesaadavaks ka pärast deemon kadumist. Kirjutage üles eemaldatud reegel, selle endine asukoht ja põhjus, et hilisem muudatuste ülevaatus ei taastaks seda kogemata.

Käsitlege mandaate konfiguratsioonist eraldi. Kliendiprofiili eemaldamine ei ole tühistamine ja kontot, mis mujal veel autentisub, ei ole kasutusest kõrvaldatud.

Kontrollige, et asendaja teeb tööd, mida PPTP tegi

Kontroll-loend ei ole „kas see ühendub“. See on, kas autentimine, aadresside määramine, DNS-i lahendamine, marsruudi valik, uuestiühendumise käitumine ja partneri kontroll püsivad kõik asendaja all. Testige igaüht pilootseadmes, selles järjekorras, ja kirjutage täheldatud tulemus ootuse kõrvale.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Aadress liidesel tõestab, et läbirääkimine lõppes. See ei tõesta, et kaugpool volitas marsruudi, mida ootate, ja ülaltoodud päring vastab ainult sellele hostile, mitte edasisaadetud LAN-ile. Resolveri vastus tõestab resolveri kättesaadavust, mitte seda, et jagatud DNS-i poliitika saadab sinna õiged nimed.

Kontrollige uuestiühendumist viimasena, sest seal regresseeruvad enamik asendajaid: pange sülearvuti und, vahetage võrke ja kinnitage, et tunnel taastub, jätmata maha aegunud marsruute.

Tagasipööramine, tühistamine ja jäädvustus, mille maha jätate

Tagasipööramine taastab teenuse; see ei taasta turvalisust ja seda erinevust tuleb enne akna avamist valjusti öelda. Kui uus tee ebaõnnestub, tooge kasutajad tagasi teise kaasaegse lõpp-punkti või ajutise värava kaudu, mitte PPTP uuesti kõigile lubamisega. Ühe hädaabi tee hoidmine vanal protokollil laiendab riski, mille just dokumenteerisite.

Pärast üleminekut tühistage kontod, mis autentisid PPTP kaudu, laske nende salvestatud profiilidel aeguda ja kinnitage, et GRE-reegel on kadunud igast servaseadmest, sealhulgas katastroofitaastamise koopiast, mida keegi ei mäleta.

Jätke lühike ülestähendus: protokollid, mille leidsite, kuupäev, millal iga kuulaja lõpetas, asendaja toetatud kliendiversioonid ja omanik, kes saab otsuse uuesti avada. Paroolihügieen on hiljem endiselt oluline, aga hügieenina protokollil, mis seda väärib, mitte argumendina vana elus hoida.