سخت‌سازی VPN ویندوز: پیش از تونل، احراز هویت را درست کنید

سرور VPN ویندوز شما نام کاربری و رمز عبور می‌خواهد و همان یک کادر گفت‌وگو سه وظیفه بی‌ربط را پنهان می‌کند. یکی ثابت می‌کند که شخص چه کسی است، یکی مانع می‌شود کسی که سیم را می‌پاید آن اثبات را دوباره به کار ببرد، و یکی تعیین می‌کند که پس از آن به کدام نشانی‌ها دسترسی دارد. بیشتر استقرارهای کوچک نخست تونل را سخت می‌کنند و دو وظیفه اول را بر پیش‌فرض‌هایشان رها می‌کنند، که ترتیب نادرستی است.

به همان ترتیبی کار کنید که مهاجم کار می‌کند. نخست آنچه از سیم قابل گرفتن است. سپس آنچه با همان ضبط بعداً قابل بازپخش است. در پایان، آنچه یک مهاجم احراز‌شده پس از ورود می‌تواند به آن برسد.

سه وظیفه، یک کادر گفت‌وگو

هویت همان بخشی است که مردم به آن فکر می‌کنند و تنها یک‌سوم مشکل است. اثبات هویت باید از ناظری جان به در ببرد که تبادل را ضبط می‌کند و بعداً دوباره تلاش می‌کند. مجوزدهی تصمیمی جداگانه است که سرور پس از روشن شدن هویت می‌گیرد و ویندوز آن را در سرویسی متفاوت از سرویسی که اعتبارنامه‌ها را می‌سنجد نگه می‌دارد.

وقتی هر سه در یک سبد ذهنی جا بگیرند، نتیجه معمول سروری است که به‌قوت احراز هویت می‌کند و سپس به کاربر اجازه می‌دهد به همه چیز برسد. درست کردن این وضعیت بعداً سخت‌تر از تصمیم‌گیری درباره سیاست اکنون است، چون تا آن زمان پروفایل دیوار آتش، مجموعه نشانی‌ها و مسیرها همه فرض قدیمی را رمزگذاری کرده‌اند.

پیش از دست زدن به هر تنظیمی، این سه را در یادداشت‌هایتان جدا کنید و سپس آن‌ها را از ضعیف‌ترین حلقه به بالا اصلاح کنید.

چرا MS-CHAPv2 از آزمون بازپخش جان سالم به در نمی‌برد

اگر سرور هنوز PPTP را با MS-CHAPv2 می‌پذیرد، تونل رمز عبور را به هیچ معنای ملموسی محافظت نمی‌کند. چالش و پاسخ را می‌توان گرفت و برون‌خط حمله کرد و در 2012 یک سرویس عمومی شکستن رمز، بازیابی از چنین دست‌دادنی را برای یک رمز عبور معمول در حدود یک روز نشان داد. رمز عبور بلندتر و پیچیده‌تر هزینه را بالا می‌برد؛ اما ماده‌ای را که مهاجم از شبکه می‌خواهد حذف نمی‌کند.

ویژگی‌ای که می‌خواهید اعتبارنامه‌ای است که بازپخش‌شدنی نباشد. EAP-TLS با گواهی‌های کلاینت به هر دستگاه هویت خودش را می‌دهد و می‌گذارد دقیقاً یک دستگاه را باطل کنید.

استقرار گواهی کار واقعی است: یک CA خصوصی، مسیر ابطالی که کلاینت‌ها بررسی کنند و برنامه‌ای برای تمدید که از تغییر کارکنان جان به در ببرد. با این کار مانند یک پروژه رفتار کنید، نه مانند مانعی میان شما و یک تونل کارآمد. برایش بودجه بگذارید همان‌گونه که برای تعویض دیوار آتش بودجه می‌گذارید. رمز عبور مشترک فقط تا نخستین ابطال ارزان‌تر است.

کلید از پیش اشتراکی جفت را احراز هویت می‌کند، نه شخص را

L2TP/IPsec با کلید از پیش اشتراکی ثابت می‌کند که دو دروازه راز یکسانی را می‌دانند. این هیچ چیزی درباره اینکه کدام انسان وصل می‌شود نمی‌گوید و در آن لایه نمی‌تواند یک کارمند را از دیگری تشخیص دهد. از یک مقدار تصادفی طولانی استفاده کنید، بسیار فراتر از ده نویسی که برخی راهنماها پیشنهاد می‌کنند، چون هر کس دست‌دادن را بگیرد می‌تواند کلید را برون‌خط حمله کند.

هر کلاینت در آن پروفایل راز را شریک است، پس برداشتن یک نفر یعنی توزیع دوباره آن میان همه بازماندگان. گامی جداگانه برای احراز هویت کاربر بالای راز سطح ماشین نگه دارید و با رشد جمعیت کلاینت‌ها به گواهی‌ها مهاجرت کنید. کلید از پیش اشتراکی همراه با MS-CHAPv2 دو لایه ضعیف است و دومی اولی را باطل می‌کند.

مجوزدهی جایگاهش Network Policy Server است

NPS در ویندوز تعیین می‌کند چه کسی اجازه اتصال دارد و این کار را پس از موفقیت احراز هویت انجام می‌دهد. همین جداسازی سودمندترین کنترل سخت‌سازی در این محصول است و بسیاری از استقرارها آن را دست‌نخورده می‌گذارند.

از شروط سیاستی استفاده کنید که محدودیت‌های واقعی را بازتاب می‌دهند: عضویت گروهی، بازه زمانی که پشتیبانی نیرو دارد و وضعیت دستگاه از یک بررسی سلامت. جایی که داده‌ها سایش را توجیه می‌کنند یک عامل دوم اضافه کنید و به یاد داشته باشید که سیاست برای هر تلاش اتصال ارزیابی می‌شود، که آن را به کنترلی زنده و نه سندی کاغذی تبدیل می‌کند.

حسابداری RADIUS هم یک ثبت از اینکه چه کسی و چه وقت وصل شد به شما می‌دهد. آن گزارش تفاوت میان بازبینی یک رخداد و حدس زدن است و وجود دارد، چه کسی بخواندش چه نخواند.

محدود کنید یک ورود موفق به کجا می‌تواند برسد

آداپتور VPN باید در پروفایل دیوار آتشی فرود بیاید که خدمات مورد نیاز نقشش را مجاز می‌کند، نه کل شبکه فرعی را. مسئله مسیریابی از پالایش جداست. تونل کامل از دستگاه کلاینت محافظت می‌کند و هر بایت را از پیوند بالاسوی شما می‌گذراند، در حالی که تونل شکافته ترافیک محلی را محلی نگه می‌دارد و دستگاه را در معرض هر شبکه‌ای که باشد می‌گذارد.

هیچ‌یک از دو گزینه پیش‌فرض امنیتی نیست. هر دو باید کنار پروفایل دیوار آتشی که فرض می‌کنند نوشته شوند.

مسیرهای شکست را بررسی کنید

آنچه باید بشکند را بیازمایید: رمز عبور نادرست، گواهی منقضی، دستگاه باطل‌شده، کاربری بیرون گروه. هر یک باید در نقطه‌ای متفاوت شکست بخورد و گزارش باید بگوید کدام بود. مجموعه را نخست روی یک حساب آزمایشی اجرا کنید و بعد آن را برای کاربر واقعی تکرار کنید. رد شدنی که بی‌دلیل در گزارش رویدادها می‌نشیند، خیلی پیش از آنکه به آن ثبت نیاز داشته باشید ارزش اصلاح دارد.

سپس تأیید کنید کدام درگاه‌ها منتشر شده‌اند و چرا. PPTP به TCP 1723 و GRE به‌عنوان پروتکل IP و نه درگاه نیاز دارد، IKEv2 به UDP 500 و 4500 نیاز دارد و L2TP به UDP 1701 به‌علاوه IPsec. آشکار کردن یک رابط مدیریت تا کلاینت وصل شود، تعمیر نیست، رخداد دومی است که در انتظار کشف شدن است.

در پایان تصمیم بگیرید سرور چه چیزی و برای چه مدت ثبت می‌کند. نقطه پایانی که تاریخچه احراز هویت ندارد نمی‌تواند نخستین پرسش پس از یک رخداد را پاسخ دهد، یعنی اینکه آیا آن تلاش هرگز مجاز بوده است.