Windows VPN gogortzea: konpondu autentifikazioa tunelaren aurretik

Zure Windows VPN zerbitzariak erabiltzaile-izena eta pasahitza eskatzen ditu, eta elkarrizketa-koadro bakar horrek hiru zeregin desberdin ezkutatzen ditu. Batek nor den frogatzen du, batek hariari begira dagoen norbaitek froga hori berrerabiltzea eragozten du, eta batek geroago zein helbidetara irits daitekeen erabakitzen du. Inplementazio txikiek tunela gogortzen dute lehenengo eta lehen bi zereginak beren balio lehenetsietan uzten dituzte, eta hori okerreko ordena da.

Egin lan erasotzaileak egiten duen ordenan. Lehenengo, haritik harrapa daitekeena. Gero, harrapaketa horrekin beranduago errepika daitekeena. Azkenik, erasotzaile autentifikatu batek barruan dagoenean irits dezakeena.

Hiru zeregin, elkarrizketa-koadro bat

Identitatea jendeak pentsatzen duen zatia da, eta arazoaren herena besterik ez da. Identitatearen frogak trukea grabatzen duen eta geroago berriro saiatzen den behatzailea gainditu behar du. Baimena identitatea finkatu ondoren zerbitzariak hartzen duen erabaki bereizia da, eta Windowsek kredentzialak baliozkotzen dituen zerbitzutik bereizten du.

Hirurak burmuineko ontzi bakarrean bizi direnean, ohiko emaitza indartsu autentifikatzen duen eta gero erabiltzaileari dena iristeko uzten dion zerbitzari bat da. Hori geroago konpontzea zailagoa da orain politika erabakitzea baino, ordurako suebakien profila, helbide multzoa eta ibilbideak aspaldiko hipotesia kodetzen baitute.

Bereizi hirurak zure oharretan ezarpen bat ukitu aurretik, eta gero konpon itzazu estekarik ahulenetik gora.

Zergatik ezin duen MS-CHAPv2-k erreprodukzio proba bat gainditu

Zerbitzariak oraindik PPTP onartzen badu MS-CHAPv2-rekin, tunelak ez du pasahitza zentzu esanguratsuan babesten. Erronka eta erantzuna harrapatu eta lineaz kanpo erasotu daitezke, eta 2012an publikoko haustura zerbitzu batek halako eskuko tratu batetik berreskuratzea erakutsi zuen gutxi gorabehera egun batean pasahitz tipiko batentzat. Pasahitz luzeago eta konplexuago batek kostua igotzen du; ez du erasotzaileak sarrerarako behar duen materiala kentzen.

Nahi duzun propietatea erreproduzitu ezin den kredentzial bat da. Bezeroen ziurtagiriekin EAP-TLS-k gailu bakoitzari bere identitatea ematen dio eta gailu bat zehazki baliogabetzeko aukera ematen dizu.

Ziurtagiriak ezartzea benetako lana da: CA pribatu bat, bezeroek egiaztatzen duten baliogabetze bide bat eta langileen txandakatzea gainditzen duen berritze plan bat. Hartu lan hori proiektutzat, ez zure eta funtzionatzen duen tunel baten arteko oztopotzat. Aurrekontua egin horretarako, suebaki bat ordezkatzeko egingo zenukeen bezala. Partekatutako pasahitz bat merkeagoa da lehen baliogabetzea arte soilik.

Aurrez partekatutako gako batek bikotea autentifikatzen du, ez pertsona

L2TP/IPsec aurrez partekatutako gako batekin bi atebidek sekretu bera dakiten frogatzen du. Ez du ezer esaten nor den konektatzen ari dena, eta ezin du langile bat bestetik bereizi geruza horretan. Erabili ausazko balio luze bat, gida batzuek iradokitzen dituzten hamar karaktereak askoz gaindituta, eskuko tratua harrapatzen duen edonork gakoa lineaz kanpo erasotu baitezake.

Profil horretako bezero guztiek sekretua partekatzen dute, beraz pertsona bat kentzeak gainerako guztiei berriro banatzea esan nahi du. Mantendu erabiltzaile autentifikaziorako pauso bereizi bat makina mailako sekretuaren gainetik, eta pasatu ziurtagirietara bezero kopurua hazi ahala. Aurrez partekatutako gakoa MS-CHAPv2-rekin batera bi geruza ahul dira, eta bigarrenak lehenengoa baliogabetzen du.

Baimena Network Policy Server-en dago

Windowseko NPS-k erabakitzen du nork konekta dezakeen, eta autentifikazioa dagoeneko arrakastatsua izan ondoren egiten du. Bereizketa hori produktuko gogortze kontrolik erabilgarriena da, eta inplementazio askok ukitu gabe uzten dute.

Erabili muga errealak islatzen dituzten politika baldintzak: talde kidetza, laguntza langileekin dagoen denbora tartea eta osasun egiaztapen bateko gailuaren egoera. Gehitu bigarren faktore bat datuek marruskadura justifikatzen duten lekuan, eta gogoratu politika konexio saiakerako ebaluatzen dela, eta horrek kontrol bizia egiten duela, ez dokumentua.

RADIUS kontabilitateak nork eta noiz konektatu duen erregistro bat ematen dizu. Erregistro hori intzidentzia baten berrikuspenaren eta susmoaren arteko aldea da, eta existitzen da inork inoiz irakurtzen duen ala ez.

Mugatu saio-hasiera arrakastatsu batek zer irits dezakeen

VPN egokitzaileak suebaki profil batean lurreratu behar du, bere rolarentzat beharrezko zerbitzuak onartzen dituena eta ez azpisare osoa. Bideratzearen kontua iragazketatik bereizia da. Tunel osoak bezeroaren gailua babesten du eta byte bakoitza zure goranzko estekatik bidaltzen du, tunel zatituak berriz trafiko lokala lokala mantentzen du eta gailua dagoen sare orori erakusten dio.

Bi aukeretako bat ere ez da segurtasun balio lehenetsia. Biak idatzi behar dira suposatzen duten suebaki profilaren ondoan.

Egiaztatu hutsegite bideak

Probatu zer hautsi beharko lukeen: pasahitz okerra, iraungitako ziurtagiria, baliogabetutako gailua, taldetik kanpoko erabiltzailea. Bakoitzak puntu ezberdinean huts egin beharko luke, eta erregistroak zein izan zen esan beharko luke. Exekutatu multzoa probako kontu batekin lehenengo, gero errepikatu erabiltzaile erreal batekin. Arrazoirik gabe gertaeren erregistrora iristen den baztertzea askoz lehenago konpontzea merezi du erregistroa behar duzun baino.

Gero egiaztatu zein portu argitaratzen diren eta zergatik. PPTP-k TCP 1723 eta GRE behar ditu IP protokolo gisa, ez portu gisa, IKEv2-k UDP 500 eta 4500 behar ditu, eta L2TP-k UDP 1701 gehi IPsec. Kudeaketa interfaze bat erakustea bezero bat konekta dadin ez da konponketa, aurkitu zain dagoen bigarren intzidentzia bat baizik.

Azkenik, erabaki zer erregistratzen duen zerbitzariak eta zenbat denboran. Autentifikazio historiarik gabeko muturreko puntu batek ezin dio intzidentzia baten ondorengo lehen galderari erantzun, hots, saiakera baimenduta egon zen edo ez.