RouterOS OpenVPN eta NPS: ezarri user-auth-method, ez auth

RouterOS NPS-ra irits daiteke OpenVPN saio-hasiera batekin eta hala ere baztertua izan, eta ohiko arrazoia autentifikazioa bezala entzuten diren bi ezarpen dira. Batek laburpen kriptografikoa hautatzen du tuneleko; besteak erabakitzen du nola aurkezten zaizkion erabiltzailearen kredentzialak RADIUS-i. Laburpena aldatzeak ez du inoiz PAP eskaera bat MS-CHAPv2 bihurtuko, zerbitzua zenbat aldiz berrabiarazi ere. Beheko zerrendak biak bereizten ditu eta gero saio-hasiera huts bat jarraitzen du hura epaitu zuen NPS politikan zehar.

1. urratsa: irakurri bi ezarpenak, bat aldatu aurretik

Inprimatu tuneleko amaitzen duen routerreko OpenVPN zerbitzariaren konfigurazio eraginkorra, ez segurtasun-kopia batetik ez foroko mezu kopiatu batetik. Ardura zaizkizun bi eremuak normalean menu berean daude eta alternatibak balira bezala irakurtzen dira. Ez dira: bata datu-kanalari buruzkoa da, bestea kredentzialen trukeari buruzkoa.

/interface ovpn-server server print
/interface ovpn-server server export

auth eremuak sha1 eta sha256 bezalako laburpenak zerrendatzen ditu eta tuneleko paketeak autentifikatzen dituen HMAC-a kontrolatzen du. user-auth-method eremuak pap edo mschap2 hautatzen du eta routerrak nola aurkezten dizkion erabiltzailearen kredentzialak RADIUS-i erabakitzen du. Laburpen-aldaketak ezin du bigarren portaera aldatu, eta horregatik baztertze berak lehenaren doikuntza guztiak gainditzen ditu.

Gelditu hemen zure bertsioak user-auth-method batere erakusten ez badu. RouterOS bertsio zaharrek agian ez dute OpenVPN zerbitzarian eskaintzen, eta konponketa onar dezakezun bertsio batean dago, ez berriago batetik kopiatutako komando batean.

2. urratsa: aurkitu saio-hasiera benetan baztertu zuen politika

NPS aldean, konexio-eskaera bat sare-politiken aurka ebaluatzen da, eta bat datozen politikan aipatzen den autentifikazio-metodoa bezeroak benetan eskainitako bat izan behar da. Lotu saio-hasiera huts bat denbora eta erabiltzailearen arabera, laburpen-kontaketa bat irakurri beharrean. Segurtasun-erregistroak baimendutako eta ukatuako eskaerak arrazoi-kodearekin erregistratzen ditu, eta horrek routerraren hutsegite-lerro orokorrak baino askoz gehiago esaten dizu.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Irakurri hiru gauza gertaeran: bat datozen politikaren izena, autentifikazio-metodoa eta arrazoi-kodea. MS-CHAPv2 eskatzen duen politika batek PAP eskaera baztertzen du pasahitza zuzena denean ere, eta domeinu-kontua eskatzen duen politika batek tokiko kontua baztertzen du. RADIUS bezeroaren erregistroak routerraren iturburu-helbidearekin bat etorri behar du, bestela eskaera baztertzen da edozein politika kontsultatu aurretik. Horietako ezer ez da OpenVPN erregistroan agertzen.

Gelditu hemen eskaera inoiz NPS-ra iristen ez bada. Hori sekretu partekatuaren, bezeroaren helbidearen edo UDP 1812ren arazoa da, eta autentifikazio-metodoak aldatzeak ez du konponduko.

3. urratsa: aldatu metodo bat, bi aldeetan

Onartutako diseinua MS-CHAPv2 bada, ezarri routerran eta egiaztatu bat datozen politikak onartzen duela. Aldatu alde bat, probatu berriro eta gero aldatu bestea; biak aldi berean aldatzeak ez dizu esaten uzten zein zen garrantzitsua.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Ez gaitu NPS-n metodo ahul guztiak errorea desagertu dadin. Backend-ak hautatutako metodoak egiaztatu dezakeen materiala eduki behar du: MS-CHAPv2-k pasahitzera edo domeinura sarbidea behar du, eta politika batek ezin du material hori asmatu. Politika zabaltzeak erasotzaileak kontu beraren aurka proba dezakeena ere zabaltzen du. Idatzi metodoa, politikaren izena eta aldaketaren erreferentzia elkarrekin, hurrengo pertsonak erabaki bat oinordetzan har dezan, susmo bat ez.

Utzi tuneleko ziurtagiriaren balidazioa zegoen bezala. Kredentzial-metodoa ez da zerbitzariaren identitatearen ordezkoa, eta proba bat gainditzeko TLS egiaztapenak jaisteak arazo bat okerrago baterako trukatzen du.

4. urratsa: probatu hiru saio-hasiera eta baimen bat

Probatu baimendutako erabiltzaile bat, pasahitz oker bat eta kanpoan utzitako erabiltzaile bat, bakoitza saio berri batean. Lehenak bidea frogatzen du, bigarrenak kredentzialen egiaztapena erreala dela frogatzen du, eta hirugarrenak politikak oraindik kanpoan uzten duela frogatzen du. Cachean gordetako saio batek hirurak ezkuta ditzake, beraz, deskonektatu saiakeren artean.

/log print where topics~"ovpn"
/radius monitor 0

Autentifikazio-arrakastak ez du zerrenda amaitzen. Egiaztatu bezeroak jaso zuen helbidea eta helbide horrek irits dezakeen baliabideak, erabiltzaile bat behar bezala autentifika baitaiteke eta hala ere igerileku okerrean amaitu. Esleitutako helbidea okerra bada, arazoa profilean edo RADIUS erantzunaren atributuetan dago, ez metodoa. Egiaztatu biak tiket-a itxi aurretik.

Zerrenda amaituta dago routerraren ezarpenak eta NPS politikak metodo bera izendatzen dutenean, erabiltzaile baimendu batek saio berri batekin konektatzen duenean, pasahitz oker bat baztertzen denean, kanpoan utzitako erabiltzaile bat kanpoan jarraitzen duenean eta esleitutako helbidea aurreikusitako igerilekuarekin bat datorrenean. Hori baino gutxiago hurrengo saio-hasiera zoriaren esku uzten du.