RouterOS OpenVPN agus NPS: socraigh user-auth-method, ní auth

Is féidir le RouterOS NPS a bhaint amach le logáil isteach OpenVPN agus fós diúltú dó, agus is é an chúis is coitianta dhá shocrú a bhfuil a n-ainmneacha araon cosúil le fíordheimhniú. Roghnaíonn ceann acu achoimre chripteagrafach don tollán; cinneann an ceann eile conas a chuirtear dintiúir an úsáideora i láthair RADIUS. Ní chasfaidh athrú na hachoimre iarratas PAP ina MS-CHAPv2 riamh, is cuma cé mhéad uair a atosaítear an tseirbhís. Scarann an seicliosta thíos an dá rud, agus ansin leanann sé logáil isteach amháin a theip tríd an mbeartas NPS a thug breithiúnas uirthi.

Céim 1: léigh an dá shocrú sula n-athraíonn tú ceachtar acu

Priontáil cumraíocht éifeachtach an fhreastalaí OpenVPN ar an ródaire a chríochnaíonn an tollán, ní ó chúltaca ná ó phost fóraim atá cóipeáilte. Bíonn an dá réimse a bhfuil suim agat iontu sa roghchlár céanna de ghnáth agus léitear iad mar a bheifí ina n-ionadaithe. Níl siad: baineann ceann leis an gcainéal sonraí, agus an ceann eile le malartú na ndintiúr.

/interface ovpn-server server print
/interface ovpn-server server export

Liostaíonn an réimse auth achoimrí cosúil le sha1 agus sha256 agus rialaíonn sé an HMAC a fhíordheimhníonn paicéid an tolláin. Roghnaíonn an réimse user-auth-method pap nó mschap2 agus cinneann sé conas a chuireann an ródaire dintiúir an úsáideora i láthair RADIUS. Ní féidir le hathrú achoimre an dara hiompar a athrú, agus is é sin an fáth a maireann an diúltú céanna gach coigeartú ar an gcéad cheann.

Stop anseo mura nochtann do leagan user-auth-method ar chor ar bith. B'fhéidir nach dtairgeann seanleaganacha RouterOS é ar an bhfreastalaí OpenVPN, agus baineann an ceartú le leagan ar féidir leat tacú leis, ní le ordú atá cóipeáilte ó cheann níos nuaí.

Céim 2: faigh an beartas a dhiúltaigh don logáil isteach i ndáiríre

Ar thaobh NPS, déantar iarratas ceangail a mheasúnú i gcoinne beartas líonra, agus caithfidh an modh fíordheimhniúcháin a ainmnítear sa bheartas comhoiriúnach a bheith ar cheann a thairg an cliant i ndáiríre. Comhghaolaigh logáil isteach amháin a theip de réir ama agus úsáideora in ionad comhaireamh achoimre a léamh. Taifeadann an loga slándála iarratais a deonaíodh agus a diúltaíodh le cód cúise, rud a insíonn i bhfad níos mó duit ná líne chineálach theipe an ródaire.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Léigh trí rud sa teagmhas: ainm an bheartais chomhoiriúnaigh, an modh fíordheimhniúcháin agus an cód cúise. Diúltaíonn beartas a éilíonn MS-CHAPv2 d'iarratas PAP fiú nuair a bhíonn an focal faire ceart, agus diúltaíonn beartas a éilíonn cuntas fearainn do cheann áitiúil. Caithfidh iontráil chliant RADIUS teacht le seoladh foinse an ródaire freisin, nó caitear an t-iarratas sula gcuirtear aon bheartas san áireamh. Ní fheictear aon rud díobh sin i loga OpenVPN.

Stop anseo mura sroicheann an t-iarratas NPS riamh. Is fadhb rún comhroinnte, seoladh cliaint nó UDP 1812 í sin, agus ní cheartóidh athrú modhanna fíordheimhniúcháin í.

Céim 3: athraigh modh amháin, ar an dá thaobh

Má tá MS-CHAPv2 sa dearadh ceadaithe, socraigh é ar an ródaire agus deimhnigh go nglacann an beartas comhoiriúnach leis. Athraigh taobh amháin, aththástáil, ansin athraigh an taobh eile; má athraíonn tú an dá cheann le chéile ní féidir leat a rá cé acu a bhí tábhachtach.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Ná cumasaigh gach modh níos laige ar NPS chun go n-imíonn an earráid. Caithfidh ábhar a bheith sa chúlchóras ar féidir leis an modh roghnaithe é a fhíorú: teastaíonn rochtain ar an bhfocal faire nó ar an bhfearann ó MS-CHAPv2, agus ní féidir le beartas an t-ábhar sin a chumadh. Leathnaíonn leathnú an bheartais freisin an méid a fhéadfaidh ionsaitheoir a thriail i gcoinne an chuntais chéanna. Taifead an modh, ainm an bheartais agus tagairt an athraithe le chéile, ionas go bhfaighidh an chéad duine eile cinneadh seachas buille faoi thuairim.

Fág bailíochtú teastais an tolláin go beacht mar a bhí sé. Ní hionann modh dintiúir agus féiniúlacht an fhreastalaí, agus má ísleann tú seiceálacha TLS chun go n-éireoidh le tástáil malartaíonn tú fadhb amháin ar cheann níos measa.

Céim 4: tástáil trí logáil isteach agus cead amháin

Tástáil úsáideoir ceadaithe, focal faire mícheart agus úsáideoir eisiata, gach ceann i seisiún úr. Cruthaíonn an chéad cheann an cosán, cruthaíonn an dara ceann go bhfuil an tseiceáil dintiúr fíor, agus cruthaíonn an tríú ceann go n-eisiatar fós an té ar cheart a eisiat. Is féidir le seisiún atá i dtaisce an triúr a cheilt, mar sin díluchtaigh idir iarrachtaí.

/log print where topics~"ovpn"
/radius monitor 0

Ní hé rath an fhíordheimhniúcháin deireadh an tseicliosta. Seiceáil an seoladh a fuair an cliant agus na hacmhainní a bhféadfadh an seoladh sin iad a bhaint amach, mar is féidir le húsáideoir fíordheimhniú go ceart agus fós teacht i dtír ar an droch-linn. Má tá an seoladh a sannadh mícheart, tá an fhadhb sa phróifíl nó i ngnéithe an fhreagra RADIUS, ní sa mhodh. Deimhnigh an dá rud sula ndúnfaidh tú an ticéad.

Tá an seicliosta críochnaithe nuair a ainmníonn socrú an ródaire agus beartas NPS an modh céanna, nuair a nascann úsáideoir ceadaithe le seisiún úr, nuair a dhiúltaítear do dhrochfhocal faire, nuair a fhanann úsáideoir eisiata eisiata agus nuair a thagann an seoladh a sannadh leis an linn bheartaithe. Fágann aon rud níos lú an chéad logáil isteach eile don seans.