Retirar PPTP/MS-CHAPv2: guía de execución para unha VPN antiga

Os contrasinais de vinte caracteres, rotados cada mes e gardados nunha caixa forte, non converten un servidor PPTP con MS-CHAPv2 nunha VPN moderna. O contrasinal é unha entrada a un intercambio cuxa debilidade vive no propio intercambio. Esta guía é para quen herdou ese servidor e debe mover os usuarios fóra del sen cortar o sitio que depende del. Siga os pasos en orde, porque cada un deixa un rexistro que quererá ter cando alguén pregunte por que o acceso cambiou de súpeto.

Escriba a pila antes de tocar nada

Tres capas xúntanse na palabra PPTP, e cada unha falla á súa maneira. O túnel é o propio PPTP, GRE máis TCP 1723. A autenticación é o método PPP que ofreza o servidor, aquí MS-CHAPv2. A protección da ligazón é MPPE, cuxas chaves se derivan dese intercambio de autenticación. Nomear as tres evita que unha corrección posterior aterrice na capa equivocada.

Lea a configuración viva en lugar de confiar nunha páxina wiki, e anote o ficheiro, o oínte e as últimas sesións que se autenticaron.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Nun rol de acceso remoto de Windows o mesmo inventario sae de dous comandos, e o segundo importa porque un rol pode anunciar varios métodos á vez mentres os clientes de campo só négocian sempre o máis feble.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Decida que transporta hoxe realmente o túnel

Enumere os consumidores antes de elixir un substituto: portátiles en itinerancia, un encamiñador de sucursal, un terminal de pagamento, un conxunto de tabletas de campo. Un consumidor que só necesita chegar a un host interno é doado de mover. Un consumidor incrustado en hardware que non pode reflashear pode necesitar unha pasarela intermedia en lugar dunha actualización do cliente, e esa decisión pertence ao plan, non ao medio da migración.

Despois pregunte que obtería un atacante que poida observar ou influír no intercambio de inicio de sesión. Con MS-CHAPv2 a resposta inclúe material que permite recuperar fóra de liña o contrasinal do usuario, e precisamente por iso a lonxitude e a rotación non reparan o deseño: o segredo recuperado é válido en todos os sistemas onde o usuario o reutilizou.

MPPE herda a mesma debilidade, xa que as súas chaves veñen dese intercambio, e non lle dá a integridade por paquete nin o comportamento de repetición dun cifrado AEAD moderno. Unha sesión que se autentica limpiamente demostrou compatibilidade coas comprobacións configuradas e nada máis.

Nin unha pausa curta para xantar nin un número pequeno de usuarios converten unha propiedade criptográfica nunha de política.

Executen a migración dentro dunha única xanela de mantemento

Levante o substituto, demóstreo cun grupo piloto e despois deteña o oínte antigo en lugar de deixalo como un respaldo silencioso. Un respaldo ao que todos aínda poden chegar non é unha migración, e mantén o intercambio feble dispoñible xusto para os usuarios que nunca se molestan en cambiar.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Pecha a ruta do cortalumes na mesma xanela. GRE non ten porto que recordar, así que unha regra que permite o protocolo 47 por número é doada de pasar por alto e deixa o servizo accesible mesmo despois de que o daemon xa non estea. Rexistre a regra que eliminou, a súa posición anterior e o motivo, para que unha revisión de cambios posterior non a restaure por accidente.

Xestione as credenciais por separado da configuración. Eliminar un perfil de cliente non é unha revocación, e unha conta que aínda se autentica noutro lugar non se retirou.

Verifique que o substituto fai o traballo que facía PPTP

A lista de comprobación non é “conéctase”. É se a autenticación, a asignación de enderezos, a resolución DNS, a selección de ruta, o comportamento de reconexión e a verificación do par seguen vixentes baixo o substituto. Probe cada punto nun dispositivo piloto, nesa orde, e escriba o resultado observado xunto ao esperado.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Un enderezo na interface demostra que a negociación se completou. Non demostra que o lado remoto autorizase a ruta que espera, e a consulta anterior só responde por este host, non por unha LAN reenviada. Unha resposta do resolutor demostra accesibilidade dun resolutor, non que a política de DNS dividido lle envíe os nomes correctos.

Reconecte ao final, porque aí é onde máis substitutos retroceden: suspenda un portátil, cambie de rede e confirme que o túnel se restablece sen deixar rutas obsoletas.

Reversión, revocación e o rexistro que deixa

A reversión restaura o servizo; non restaura a seguridade, e a diferenza debe dicirse en voz alta antes de que se abra a xanela. Se a ruta nova falla, devolva os usuarios por un segundo punto final moderno ou unha pasarela temporal, non reactivando PPTP para todos. Manter unha ruta de emerxencia no protocolo antigo amplía a exposición que acaba de documentar.

Tras a migración, revoque as contas que se autenticaron por PPTP, deixe caducar os seus perfís almacenados e confirme que a regra GRE desapareceu de cada dispositivo de bordo, incluída a copia de recuperación ante desastres que ninguén recorda.

Deixe un rexistro breve: os protocolos que atopou, a data en que cada oínte se detivo, as versións de cliente que admite o substituto e o propietario que pode reabrir a decisión. A hixiene de contrasinais segue a importar despois, pero como hixiene nun protocolo que a merece, non como argumento para manter vivo o antigo.