Windows-VPN fersterkje: reparearje de autentikaasje foar de tunnel

Jo Windows-VPN-tsjinner freget om in brûkersnamme en in wachtwurd, en dy iene dialooch ferberget trije los faninoar steande taken. Ien bewissiget wa’t de persoan is, ien hâldt tsjin dat immen dy’t de tried beslûket dat bewiis opnij brûkt, en ien beslút hokker adressen se dêrnei berikke meie. De measte lytse ynstallaasjes fersterkje earst de tunnel en litte de earste twa taken op har standertwearden, wat de ferkearde folchoarder is.

Wurkje yn ’e folchoarder wêryn’t de oanfaller wurket. Earst wat fan ’e tried ôf fongen wurde kin. Dêrnei wat letter mei dy opname opnij ôfspile wurde kin. Ta beslút, wat in autentisearre oanfaller berikke kin as er ienris binnen is.

Trije taken, ien dialooch

Identiteit is it diel dêr’t minsken oan tinke, en it is mar in tredde fan it probleem. Bewiis fan identiteit moat in waarnimmer oerlibje dy’t de útwikseling opnimt en it letter opnij besiket. Autorisearring is in apart beslút dat de tsjinner nimt neidat de identiteit fêststeld is, en Windows hâldt it yn in oare tsjinst as dy’t de bewiisstikken falidearret.

As alle trije yn ien mentale amer wenje, is de gewoane útkomst in tsjinner dy’t sterk autentisearret en de brûker dêrnei tastiet om alles te berikken. Dat letter reparearje is dreeger as no it belied beslute, want dan kodearje it fjoerwâlprofyl, de adrespool en de rûtes allegear de âlde oanname.

Skied de trije yn jo oantekeningen foardat jo in ynstelling oanreitsje, en reparearje se dan fan ’e swakste skeakel omheech.

Wêrom’t MS-CHAPv2 in werôfspyltest net oerlibbet

As de tsjinner noch PPTP mei MS-CHAPv2 akseptearret, beskermet de tunnel it wachtwurd yn gjin inkelde sinfolle betsjutting. De útdaging en it antwurd kinne fongen en offline oanfallen wurde, en yn 2012 liet in iepenbiere kraakstsjinst weromhelling út sa’n hânjaan yn sawat ien dei sjen foar in typysk wachtwurd. In langer en komplekser wachtwurd ferheget de kosten; it ferwideret it materiaal net dat in oanfaller fan it netwurk nedich hat.

De eigenskip dy’t jo wolle is in bewiisstik dat net opnij ôfspile wurde kin. EAP-TLS mei kliïntsertifikaten jout elk apparaat syn eigen identiteit en lit jo krekt ien apparaat ynlûke.

Sertifikaten útbringe is echt wurk: in partikuliere CA, in ynlûkpaad dat kliïnten kontrolearje, en in fernijingsplan dat personielsferrin oerlibbet. Behannelje dat wurk as it projekt en net as in obstakel tusken jo en in wurkjende tunnel. Budgettearje derfoar sa’t jo budgettearje soene foar it ferfangen fan in fjoerwâl. In dield wachtwurd is allinnich goedkeaper oant de earste ynlûking.

In foarôf dielde kaai autentisearret it pear, net de persoan

L2TP/IPsec mei in foarôf dielde kaai bewissiget dat twa poarten itselde geheim kenne. It seit neat oer hokker minske ferbynt, en it kin op dy laach de iene meiwurker net fan ’e oare skiede. Brûk in lange tafallige wearde, fier boppe de tsien tekens dy’t guon gidsen foarstelle, want wa’t de hânjaan fangt kin de kaai offline oanfalle.

Elke kliïnt op dat profyl dielt it geheim, dus ien persoan fuorthelje betsjut it opnij ferdiele oan alle oaren dy’t bliuwe. Hâld in aparte stap foar brûkersautentikaasje boppe it geheim op masjinenivo, en gean oer op sertifikaten as de kliïntpopulaasje groeit. In foarôf dielde kaai kombinearre mei MS-CHAPv2 binne twa swakke lagen, en de twadde docht de earste te net.

Autorisearring heart thús yn Network Policy Server

NPS op Windows beslút wa’t ferbine mei, en docht dat neidat de autentikaasje al slagge is. Dy skieding is de nuttichste fersterkjende kontrôle yn it produkt, en in protte ynstallaasjes litte him ûnoanrekke.

Brûk beliedsbetingsten dy’t echte beheiningen wjerspegelje: groeplidmaatskip, it tiidsfinster wêryn’t stipe bemmanne is, en apparaatsteat út in sûnenskonrôle. Foegje in twadde faktor ta dêr’t de gegevens de wriuwing rjochtfeardigje, en betink dat it belied per ferbiningspoging beoardiele wurdt, wat it in libbene kontrôle makket ynstee fan in dokumint.

RADIUS-boekhâlding jout jo ek ien record fan wa’t ferbûn en wannear. Dat loch is it ferskil tusken in ynsidintresinsje en in gissing, en it bestiet oft immen it ea lêst of net.

Behein wat in slagge oanmelding berikke kin

De VPN-adapter heart yn in fjoerwâlprofyl telâne te kommen dat de tsjinsten talit dy’t syn rol nedich hat ynstee fan it hiele subnet. De rûtefrage is apart fan filterjen. In folsleine tunnel beskermet it kliïntapparaat en stjoert elke byte troch jo opgeande ferbining, wylst in splitst tunnel pleatslik ferkear pleatslik hâldt en it apparaat bleatstelt oan hokker netwurk it ek is.

Gjin fan beide karren is in feiligensstandert. Beide moatte opskreaun wurde njonken it fjoerwâlprofyl dat se oannimme.

Ferifiearje de flaterpaden

Test wat brekke moat: in ferkeard wachtwurd, in ferrûn sertifikaat, in ynlutsen apparaat, in brûker bûten de groep. Elk moat op in oar punt misbeteare, en it loch moat sizze hokker it wie. Rin de set earst tsjin in testaccount, werhelje it dan foar in echte brûker. In ôfwizing dy’t sûnder reden yn it barrenloch bedarret, is de muoite wurdich om folle earder te reparearjen as jo dat record nedich hawwe.

Befêstigje dan hokker poarten publisearre binne en wêrom. PPTP hat TCP 1723 en GRE as IP-protokol nedich ynstee fan in poarte, IKEv2 hat UDP 500 en 4500 nedich, en L2TP hat UDP 1701 plus IPsec nedich. In behearinterface bleatstelle sadat in kliïnt ferbynt is gjin reparaasje, it is in twadde ynsidint dat wachtet om ûntdutsen te wurden.

Beslút ta beslút wat de tsjinner fêstleit en hoelang. In einpunt sûnder autentikaasjeskiednis kin nei in ynsidint de earste fraach net beäntwurdzje, nammentlik oft de poging ea autorisearre wie.