PPTP/MS-CHAPv2 a scor: leabhar rith don VPN seanbhunaithe

Ní dhéanann pasfhocail fiche carachtar, a rothlaítear gach mí agus a choinnítear i dtaisce, VPN nua-aimseartha de fhreastalaí PPTP a ritheann MS-CHAPv2. Ionchur d’idirmhalartú is ea an pasfhocal, agus tá a laige san idirmhalartú féin. Tá an leabhar rith seo don té a fuair an freastalaí sin le hoidhreacht agus a chaithfidh na húsáideoirí a aistriú as gan an suíomh atá ag brath air a ghearradh. Déan na céimeanna in ord, mar fhágann gach ceann taifead a mbeidh tú ag iarraidh nuair a fhiafraíonn duine cén fáth ar athraíodh an rochtain go tobann.

Scríobh an chruach sula dtéann tú i dteagmháil le haon rud

Déantar trí shraith a chónascadh san fhocal PPTP, agus teipeann gach ceann ar a bhealach féin. Is é PPTP féin an tollán, GRE móide TCP 1723. Is é an fíordheimhniú an modh PPP a thairgeann an freastalaí, anseo MS-CHAPv2. Is é MPPE an chosaint nasc, agus díorthaítear a eochracha ón idirmhalartú fíordheimhnithe sin. Má ainmnítear an triúr, ní thuirlingíonn ceartú níos déanaí ar an tsraith mhícheart.

Léigh an chumraíocht bheo seachas brath ar leathanach vicí, agus tabhair faoi deara an comhad, an t-éisteoir agus na seisiúin dheireanacha a fíordheimhníodh.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Ar ról rochtana cianda Windows tagann an fhardal céanna ó dhá ordú, agus tá tábhacht leis an dara ceann mar is féidir le ról roinnt modhanna a fhógairt ag an am céanna agus ní réitíonn na cliaint sa pháirc ach an ceann is laige riamh.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Socraigh cad a iompraíonn an tollán i ndáiríre inniu

Liostaigh na tomhaltóirí sula roghnaíonn tú ionadaí: ríomhairí glúine fánaíochta, ródaire brainse, teirminéal íocaíochta, sraith táibléad páirce. Tá tomhaltóir nach gá dó ach óstach inmheánach amháin a bhaint amach éasca le bogadh. B’fhéidir go mbeadh gá ag tomhaltóir atá leabaithe i gcrua-earraí nach féidir leat a athflasáil le geata idirmheánach seachas uasghrádú cliaint, agus baineann an cinneadh sin leis an bplean, ní le lár an aistrithe.

Ansin fiafraigh cad a gheobhadh ionsaitheoir atá in ann idirmhalartú an logála isteach a fheiceáil nó tionchar a imirt air. Le MS-CHAPv2 cuimsíonn an freagra ábhar a ligeann d’aisghabháil as líne de phasfhocal an úsáideora, agus is é sin go beacht an fáth nach ndeisíonn fad agus rothlú an dearadh: tá an rún aisghafa bailí ar gach córas inar athúsáid an t-úsáideoir é.

Faigheann MPPE an laige chéanna le hoidhreacht, ós rud é go dtagann a eochracha ón idirmhalartú sin, agus ní thugann sé duit iomláine in aghaidh an phaicéid ná iompar athsheinm siffear AEAD nua-aimseartha. Níl i seisiún a fhíordheimhnítear go glan ach cruthúnas ar chomhoiriúnacht leis na seiceálacha cumraithe agus aon rud eile.

Ní chlaochlaíonn sos gairid lóin ná líon beag úsáideoirí airí cripteagrafach ina hairí beartais.

Rith an imirce laistigh d’aon fhuinneog chothabhála amháin

Cuir an t-ionadaí ina sheasamh, cruthaigh le grúpa píolótach amháin é, ansin stop an seaneisteoir seachas é a fhágáil mar chúltaca ciúin. Ní himirce é cúltaca ar féidir le duine ar bith teacht air fós, agus coinníonn sé an t-idirmhalartú lag ar fáil go beacht do na húsáideoirí sin nach ndéanann an stró aistriú riamh.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Dún cosán an bhalla dhóite sa fhuinneog chéanna. Níl calafort ar bith le cuimhneamh ag GRE, mar sin is furasta riail a cheadaíonn prótacal 47 de réir uimhreach a fháil thar am, agus fágtar an tseirbhís inrochtana fiú tar éis don daemon imeacht. Taifead an riail a bhain tú amach, a seasamh roimhe sin agus an chúis, ionas nach gcuirfidh athbhreithniú athraithe níos déanaí ar ais í de thaisme.

Déileáil le dintiúir ar leithligh ón chumraíocht. Ní hiarmhairt í baint próifíle cliaint, agus níor scoradh cuntas a dhéanann fíordheimhniú in áit eile fós.

Fíoraigh go ndéanann an t-ionadaí na jabanna a rinne PPTP

Ní hé «an gceanglaíonn sé» an tseicliosta. Is é an bhfuil fíordheimhniú, leithdháileadh seoladh, réiteach DNS, roghnú bealaigh, iompar athcheangail agus fíorú piaraí fós ag seasamh faoin ionadaí. Tástáil gach ceann ar ghléas píolótach, san ord sin, agus scríobh an toradh a breathnaíodh in aice leis an súil.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Cruthaíonn seoladh ar an gcomhéadan gur críochnaíodh an chaibidlíocht. Ní chruthaíonn sé gur údaraigh an taobh thall an bealach a bhfuil súil agat leis, agus ní fhreagraíonn an fhiosrúchán thuas ach don óstach seo, ní do LAN a cuireadh ar aghaidh. Cruthaíonn freagra réititheora inrochtaineacht réititheora, ní go gcuireann beartas DNS scoilte na hainmneacha cearta chuige.

Athcheangail ar deireadh, mar is ansin a chúlghaileann formhór na n-ionadaithe: cuir ríomhaire glúine chun suain, athraigh líonraí, agus dearbhaigh go n-athbhunaítear an tollán gan bealaí seanbhunaithe a fhágáil ina dhiaidh.

Cúlú, iarmhairt agus an taifead a fhágann tú

Athchuireann cúlú seirbhís; ní athchuireann sé slándáil, agus caithfear an difríocht sin a rá os ard sula n-osclaítear an fhuinneog. Má theipeann ar an mbealach nua, tabhair na húsáideoirí ar ais trí dhara críochphointe nua-aimseartha nó geata sealadach, ní trí PPTP a athchumasú do gach duine. Má choinnítear aon chosán éigeandála ar an seana-phrótacal, leathnaítear an nochtadh a rinne tú a dhoiciméadú díreach anois.

Tar éis an aistrithe, cúlghair na cuntais a rinne fíordheimhniú thar PPTP, lig do na próifílí stóráilte dul in éag, agus dearbhaigh go bhfuil an riail GRE imithe ó gach gléas imeallach, lena n-áirítear an chóip téarnaimh ó thubaiste nach cuimhin le haon duine.

Fág taifead gairid: na prótacail a d’aimsigh tú, an dáta a stop gach éisteoir, na leaganacha cliaint a thacaíonn an t-ionadaí leo, agus an t-úinéir ar féidir leis an gcinneadh a athoscailt. Tá tábhacht fós le sláinteachas pasfhocal ina dhiaidh sin, ach mar shláinteachas ar phrótacal a thuilleann é, ní mar argóint chun an seancheann a choinneáil beo.