RouterOS OpenVPN ja NPS: määra user-auth-method, mitte auth

RouterOS-is valib auth tunnelilõimiku, user-auth-method otsustab aga, kuidas RADIUS-päringut kontrollitakse. Sobita teine NPS-i poliitikaga.

RouterOS võib NPS-i jõuda OpenVPN-i sisselogimisega ja ikka tagasi lükatud saada, ning tavaline põhjus on kaks sätet, mille nimed kõlavad mõlemad autentimisena. Üks valib tunnelile krüptograafilise lõimiku; teine otsustab, kuidas kasutaja mandaate RADIUS-e esitatakse. Lõimiku muutmine ei muuda PAP-päringut kunagi MS-CHAPv2-ks, ükskõik kui tihti teenus taaskäivitub. Allolev kontrollnimekiri eraldab need kaks ja jälgib seejärel üht ebaõnnestunud sisselogimist NPS-i poliitika kaudu, mis selle üle otsustas.

Samm 1: loe mõlemad sätted enne, kui kumbagi muudad

Prindi tõhus OpenVPN-i serveri konfiguratsioon ruuteril, mis tunneli lõpetab, mitte varukoopiast ega kopeeritud foorumipostitusest. Kaks välja, mis sind huvitavad, on tavaliselt samas menüüs ja loetavad nii, nagu oleksid need alternatiivid. Need ei ole: üks puudutab andmekanalit, teine mandaatide vahetust.

/interface ovpn-server server print
/interface ovpn-server server export

Väli auth loetleb lõimikuid nagu sha1 ja sha256 ning juhib HMAC-i, mis autendib tunneli pakette. Väli user-auth-method valib pap või mschap2 ja otsustab, kuidas ruuter esitab kasutaja mandaadid RADIUS-e. Lõimiku muutmine ei saa teist käitumist muuta, mistõttu sama tagasilükkamine jääb püsima iga esimese kohandamise järel.

Peatu siin, kui sinu versioon ei avalda üldse user-auth-method. Vanemad RouterOS-i buildid ei pruugi seda OpenVPN-i serveris pakkuda ja parandus kuulub versiooni, mida saad toetada, mitte uuemast kopeeritud käsusse.

Samm 2: leia poliitika, mis sisselogimise tegelikult tagasi lükkas

NPS-i poolel hinnatakse ühenduse päringut võrgupoliitikate vastu ja vastavas poliitikas nimetatud autentimismeetod peab olema see, mida klient tegelikult pakkus. Seosta üks ebaõnnestunud sisselogimine aja ja kasutaja järgi, mitte ära loe koondarvu. Turvalogis registreeritakse lubatud ja keelatud päringud põhjusekoodiga, mis ütleb sulle palju rohkem kui ruuteri üldine vearida.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Loe sündmusest kolme asja: vastava poliitika nime, autentimismeetodit ja põhjusekoodi. MS-CHAPv2 nõudev poliitika lükkab PAP-päringu tagasi ka õige parooli korral ning domeenikontot nõudev poliitika lükkab tagasi kohaliku konto. RADIUS-i kliendi kirje peab vastama ka ruuteri lähteaadressile, muidu jäetakse päring kõrvale enne, kui ühtegi poliitikat vaadatakse. Midagi sellest ei ilmu OpenVPN-i logis.

Peatu siin, kui päring ei jõua kunagi NPS-i. See on jagatud saladuse, kliendi aadressi või UDP 1812 probleem ja autentimismeetodite muutmine seda ei paranda.

Samm 3: muuda üht meetodit mõlemal poolel

Kui kinnitatud lahendus on MS-CHAPv2, määra see ruuteril ja kinnita, et vastav poliitika selle vastu võtab. Muuda üht poolt, testi uuesti ja seejärel muuda teist; mõlema korraga muutmine jätab sind ilma võimaluseta öelda, milline neist oluline oli.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Ära luba NPS-is igat nõrgemat meetodit, et viga kaoks. Taustaprogrammil peab olema materjal, mida valitud meetod suudab kontrollida: MS-CHAPv2 vajab juurdepääsu paroolile või domeenile ning poliitika ei saa seda materjali välja mõelda. Poliitika laiendamine laiendab ka seda, mida ründaja võib sama konto vastu proovida. Kirjuta meetod, poliitika nimi ja muudatuse viide koos üles, et järgmine inimene päriks otsuse, mitte oletuse.

Jäta tunneli sertifikaadi valideerimine täpselt selliseks, nagu see oli. Mandaadimeetod ei asenda serveri identiteeti ja TLS-i kontrollide langetamine testi läbimiseks vahetab ühe probleemi halvema vastu.

Samm 4: testi kolme sisselogimist ja üht õigust

Testi lubatud kasutajat, valet parooli ja välja jäetud kasutajat, igaüht värskes seansis. Esimene tõestab tee, teine tõestab, et mandaatide kontroll on tegelik, ja kolmas tõestab, et poliitika jätab endiselt välja need, keda peab. Vahemällu salvestatud seanss võib kõik kolm peita, seega katkesta katsete vahel ühendus.

/log print where topics~"ovpn"
/radius monitor 0

Edukas autentimine ei ole kontrollnimekirja lõpp. Kontrolli aadressi, mille klient sai, ja ressursse, mida see aadress saab kätte, sest kasutaja võib autentida õigesti ja maanduda ikkagi valesse basseini. Kui määratud aadress on vale, on probleem profiilis või RADIUS-i vastuse atribuutides, mitte meetodis. Kinnita mõlemad enne pileti sulgemist.

Kontrollnimekiri on valmis, kui ruuteri säte ja NPS-i poliitika nimetavad sama meetodit, üks lubatud kasutaja ühendub värskes seansis, üks vale parool lükatakse tagasi, üks välja jäetud kasutaja jääb endiselt välja ja määratud aadress vastab kavandatud basseinile. Kõik vähem jätab järgmise sisselogimise juhuse hooleks.

Seotud artiklid