PPTP/MS-CHAPv2 käytöstä poistaminen: käsikirja vanhalle VPN:lle

Kahdenkymmenen merkin salasanat, jotka vaihdetaan kuukausittain ja säilytetään holvissa, eivät tee MS-CHAPv2:ta käyttävästä PPTP-palvelimesta nykyaikaista VPN:ää. Salasana on syöte vaihtoon, jonka heikkous on itse vaihdossa. Tämä käsikirja on sille, joka peri kyseisen palvelimen ja joutuu siirtämään käyttäjät pois siltä katkaisematta sivustoa, joka on siitä riippuvainen. Tee vaiheet järjestyksessä, koska jokainen jättää merkinnän, jota tarvitset, kun joku kysyy, miksi pääsy yhtäkkiä muuttui.

Kirjoita pino muistiin ennen kuin kosket mihinkään

Kolme kerrosta litistyy sanaksi PPTP, ja kukin epäonnistuu omalla tavallaan. Tunneli on PPTP itse, GRE plus TCP 1723. Todennus on se PPP-menetelmä, jota palvelin tarjoaa, tässä MS-CHAPv2. Linkin suojaus on MPPE, jonka avaimet johdetaan tuosta todennusvaihdosta. Kaikkien kolmen nimeäminen estää myöhemmän korjauksen laskeutumisen väärälle kerrokselle.

Lue elävää kokoonpanoa sen sijaan, että luottaisit wikisivuun, ja merkitse tiedosto, kuuntelija ja viimeiset istunnot, jotka todennettiin.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windowsin etäkäyttöroolissa sama kartoitus tulee kahdesta komennosta, ja toinen on tärkeä, koska rooli voi mainostaa useita menetelmiä samanaikaisesti, kun taas kentällä olevat asiakkaat neuvottelevat aina vain heikoimmasta.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Päätä, mitä tunneli nykyään todella kuljettaa

Luettele käyttäjät ennen korvaajan valintaa: liikkuvat kannettavat, sivuliikkeen reititin, maksupääte, joukko kenttätabletteja. Käyttäjä, jonka tarvitsee päästä vain yhteen sisäiseen isäntään, on helppo siirtää. Laitteistoon upotettu käyttäjä, jota et voi uudelleenohjelmoida, voi tarvita välissä olevan yhdyskäytävän asiakaspäivityksen sijaan, ja se päätös kuuluu suunnitelmaan, ei siirtymän keskelle.

Kysy sitten, mitä hyökkääjä saisi, joka voi tarkkailla kirjautumisvaihtoa tai vaikuttaa siihen. MS-CHAPv2:n kohdalla vastaus sisältää materiaalia, joka mahdollistaa käyttäjän salasanan offline-palautuksen, ja juuri siksi pituus ja vaihto eivät korjaa suunnittelua: palautettu salaisuus on voimassa jokaisessa järjestelmässä, jossa käyttäjä käytti sitä uudelleen.

MPPE perii saman heikkouden, koska sen avaimet tulevat tuosta vaihdosta, eikä se anna nykyaikaisen AEAD-salauksen pakettikohtaista eheyttä ja toistokäyttäytymistä. Istunto, joka todennetaan puhtaasti, on todistanut yhteensopivuuden määritettyjen tarkistusten kanssa eikä mitään muuta.

Eikä lyhyt lounastauko eikä pieni käyttäjämäärä muuta kryptografista ominaisuutta poliittiseksi.

Tee migraatio yhden huoltokatkon aikana

Nosta korvaaja pystyyn, todista se yhdellä pilottiryhmällä ja pysäytä sitten vanha kuuntelija sen sijaan, että jättäisit sen hiljaiseksi varavaihtoehdoksi. Varavaihtoehto, johon kaikki pääsevät yhä, ei ole migraatio, ja se pitää heikon vaihdon saatavilla juuri niille käyttäjille, jotka eivät koskaan viitsi vaihtaa.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Sulje palomuurin polku samassa katkossa. GRE:llä ei ole porttia, joka pitäisi muistaa, joten numerolla protokollan 47 salliva sääntö jää helposti huomaamatta ja jättää palvelun saavutettavaksi vielä sen jälkeen, kun daemon on poissa. Merkitse muistiin poistamasi sääntö, sen aikaisempi sijainti ja syy, jotta myöhempi muutosten tarkastelu ei palauta sitä vahingossa.

Käsittele tunnistetiedot erillään kokoonpanosta. Asiakasprofiilin poistaminen ei ole peruutus, eikä tiliä, joka todennetaan vielä muualla, ole poistettu käytöstä.

Varmista, että korvaaja tekee ne työt, joita PPTP teki

Tarkistuslista ei ole “yhdistyykö se”. Se on, pysyvätkö todennus, osoitteiden jako, DNS-selvitys, reitin valinta, uudelleenyhdistämiskäyttäytyminen ja vastapuolen varmistus kaikki korvaajan alla. Testaa jokainen pilottilaitteella, siinä järjestyksessä, ja kirjoita havaittu tulos odotuksen viereen.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Osoite rajapinnalla todistaa, että neuvottelu valmistui. Se ei todista, että vastapuoli valtuutti odottamasi reitin, ja yllä oleva kysely vastaa vain tästä isännästä, ei välitetystä lähiverkosta. Ratkaisijan vastaus todistaa ratkaisijan saavutettavuuden, ei sitä, että jaetun DNS:n käytäntö lähettää sinne oikeat nimet.

Tarkista uudelleenyhdistäminen viimeisenä, sillä siinä useimmat korvaajat taantuvat: nukuta kannettava, vaihda verkkoja ja vahvista, että tunneli palautuu jättämättä vanhentuneita reittejä.

Palautus, peruutus ja merkintä, jonka jätät

Palautus palauttaa palvelun; se ei palauta turvallisuutta, ja ero on sanottava ääneen ennen kuin ikkuna avataan. Jos uusi polku epäonnistuu, tuo käyttäjät takaisin toisen nykyaikaisen päätepisteen tai väliaikaisen yhdyskäytävän kautta, ei ottamalla PPTP uudelleen käyttöön kaikille. Yhden hätäpolun pitäminen vanhassa protokollassa laajentaa altistusta, jonka juuri dokumentoit.

Peruuta siirtymän jälkeen tilit, jotka todennettiin PPTP:n kautta, anna tallennettujen profiilien vanhentua ja vahvista, että GRE-sääntö on poissa jokaisesta reunalaiteesta, mukaan lukien se katastrofipalautuksen kopio, jota kukaan ei muista.

Jätä lyhyt merkintä: löytämäsi protokollat, päivä, jolloin kukin kuuntelija lopetettiin, korvaajan tukemat asiakasversiot ja omistaja, joka voi avata päätöksen uudelleen. Salasanahygienia on sen jälkeen yhä tärkeää, mutta hygieniana protokollassa, joka sen ansaitsee, ei argumenttina vanhan pitämiseksi elossa.