PPTP/MS-CHAPv2 erretiratzea: VPN zaharraren exekuzio-gida

Hogei karaktereko pasahitzak, hilero aldatzen direnak eta kutxa gotor batean gordetzen direnak, ez dute MS-CHAPv2 darabilen PPTP zerbitzari bat VPN moderno bihurtzen. Pasahitza truke baten sarrera da, eta truke horren ahulezia trukean bertan dago. Gida hau zerbitzari hura jaso duenarentzat da, eta handik erabiltzaileak mugitu behar ditu, hura behar duen gunea moztu gabe. Egin urratsak ordenan, bakoitzak erregistro bat uzten baitu, norbaitentzat sarbidea bat-batean zergatik aldatu zen galdetzen duenean beharko duzuna.

Idatzi pila ezer ukitu aurretik

Hiru geruza PPTP hitzean biltzen dira, eta bakoitzak bere erara egiten du huts. Tunela PPTP bera da, GRE gehi TCP 1723. Autentifikazioa zerbitzariak eskaintzen duen PPP metodoa da, hemen MS-CHAPv2. Estekaren babesa MPPE da, eta haren giltzak autentifikazio-truke horretatik eratortzen dira. Hirurei izena emateak eragozten du beranduagoko zuzenketa okerreko geruzara iristea.

Irakurri konfigurazio bizia wiki orri bat fidatu beharrean, eta idatzi fitxategia, entzulea eta autentifikatu ziren azken saioak.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows-en urruneko sarbidearen rolean inbentario bera bi komandotatik dator, eta bigarrena garrantzitsua da, rolak metodo batzuk aldi berean iragar ditzakeelako, zelaiako bezeroek beti ahulena besterik negoziatzen duten bitartean.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Erabaki zer garraiatzen duen tunelek gaur egun

Zerrendatu kontsumitzaileak ordezkoa aukeratu aurretik: ordenagailu eramangarri ibiltariak, sukurtsal bideratzaile bat, ordainketa-terminal bat, zelaiako tablet multzo bat. Host interno bakar batera iritsi behar duen kontsumitzailea erraza da mugitzen. Berrflasheatu ezin duzun hardwarean txertatutako kontsumitzaileak tarteko ate bat behar izan dezake bezeroaren bertsio-berritzearen ordez, eta erabaki hori planean dagokio, ez trantsizioaren erdian.

Gero galdetu zer lortuko lukeen saio-hasierako trukea behatu edo eragin dezakeen eraso batek. MS-CHAPv2-rekin erantzunak erabiltzailearen pasahitza lineaz kanpo berreskuratzeko aukera ematen duen materiala barne hartzen du, eta horregatik zehazki ez dute luzerak eta biraketa-trukeak diseinua konpontzen: berreskuratutako sekretua erabiltzaileak berrerabili zuen sistema guztietan da baliozkoa.

MPPEk ahulezia bera heredatzen du, haren giltzak truke horretatik datozelako, eta ez dizu ematen AEAD zifratze moderno baten paketeko osotasun eta errepikatze-jokabiderik. Autentifikazio garbia egiten duen saio batek konfiguratutako egiaztapenekin duen bateragarritasuna besterik ez du frogatu.

Ez bazkari-atsedenaldi labur batek, ez erabiltzaile kopuru txiki batek ez du propietate kriptografiko bat politika-propietate bihurtzen.

Egin migrazioa mantentze-leiho bakarrean

Jarri ordezkoa zutik, frogatu talde pilotu batekin, eta gero gelditu entzule zaharra isilpeko ordezko utzi beharrean. Edonork oraindik irits dezakeen ordezko bat ez da migrazioa, eta truke ahula erabilgarri uzten du sekula aldatzeko ahaleginik egiten ez duten erabiltzaileentzat.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Itxi suebakiko bidea leiho berean. GREk ez du gogoratzeko porturik, beraz, protokolo 47 zenbakiaren arabera uzten duen araua erraza da aintzat ez hartzen, eta zerbitzua irisgarri uzten du deabrua joan ondoren ere. Idatzi kendutako araua, aurreko posizioa eta arrazoia, geroagoko aldaketen berrikuspen batek ustekabean ez dezan leheneratu.

Kudeatu kredentzialak konfiguraziotik bereizita. Bezero-profil bat kentzea ez da baliogabetzea, eta beste nonbait oraindik autentifikatzen den kontua ez da erretiratu.

Egiaztatu ordezkoak PPTPk egiten zituen lanak egiten dituela

Kontrol-zerrenda ez da “konektatzen al du”. Hau da: autentifikazioak, helbide-esleipenak, DNS ebazpenak, bide-hautaketak, berrikonektatze-jokabideak eta pareen egiaztapenak ordezkoaren pean eusten dioten. Probatu bakoitza gailu pilotu batean, ordena horretan, eta idatzi behatutako emaitza itxaropenaren ondoan.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Interfazean helbide batek negoziazioa amaitutakoa frogatzen du. Ez du frogatzen urruneko aldeak espero duzun bidea baimendu duenik, eta goiko kontsultak host honetarako besterik ez du erantzuten, ez birbidalitako LAN baterako. Ebazle baten erantzunak ebazle bat irisgarria dela frogatzen du, ez DNS zatituaren politikak hara izen egokiak bidaltzen dituenik.

Egiaztatu berrikonektatzea azkenik, han atzeratzen baitira ordezko gehienak: loarazi ordenagailu eramangarria, aldatu sareak, eta berretsi tunela berrezartzen dela bide zaharkituak atzean utzita.

Atzera-egitea, baliogabetzea eta atzean uzten duzun erregistroa

Atzera-egiteak zerbitzua leheneratzen du; ez du segurtasuna leheneratzen, eta aldea ozen esan behar da leihoa ireki aurretik. Bide berriak huts egiten badu, ekarri erabiltzaileak beste mutur moderno bat edo aldi baterako ate bat erabiliz, ez PPTP guztiontzat berriz gaituta. Protokolo zaharrean larrialdi-bide bat edukitzeak dokumentatu berri duzun esposizioa zabaltzen du.

Trantsizioaren ondoren, baliogabetu PPTP bidez autentifikatu ziren kontuak, utzi haien gordetako profilak iraungitzen, eta berretsi GRE araua ertz-gailu guztietatik desagertu dela, inork gogoratzen ez duen hondamendien berreskuratze-kopia barne.

Utzi erregistro labur bat: aurkitutako protokoloak, entzule bakoitza noiz gelditu zen, ordezkoak onartzen dituen bezero bertsioak eta erabakia berriro ireki dezakeen jabea. Pasahitzen higieneak gero ere garrantzia du, baina merezi duen protokolo batean higiene gisa, ez zaharra bizirik mantentzeko argudio gisa.