PPTP/MS-CHAPv2 નિવૃત્તિ: જૂના VPN માટે રનબુક

વીસ અક્ષરોના પાસવર્ડ, જે દર મહિને બદલાય છે અને તિજોરીમાં રાખવામાં આવે છે, MS-CHAPv2 ચલાવતા PPTP સર્વરને આધુનિક VPN બનાવતા નથી. પાસવર્ડ એવી આપલેનું ઇનપુટ છે જેની નબળાઈ આપલેમાં જ રહેલી છે. આ રનબુક તેના માટે છે જેણે એ સર્વર વારસામાં મેળવ્યું છે અને તેના પર નિર્ભર સાઇટ કાપ્યા વિના વપરાશકર્તાઓને ત્યાંથી ખસેડવા પડે. પગલાં ક્રમમાં કરો, કારણ કે દરેક એક રેકોર્ડ છોડે છે જે તમને ત્યારે જોઈશે જ્યારે કોઈ પૂછશે કે ઍક્સેસ અચાનક કેમ બદલાઈ ગઈ.

કંઈપણ સ્પર્શ કરતા પહેલાં સ્ટેક લખો

PPTP શબ્દમાં ત્રણ સ્તરો ભેગા થાય છે, અને દરેક પોતાની રીતે નિષ્ફળ જાય છે. ટનલ PPTP પોતે છે, GRE વત્તા TCP 1723. પ્રમાણીકરણ એ PPP પદ્ધતિ છે જે સર્વર આપે છે, અહીં MS-CHAPv2. લિંક સુરક્ષા MPPE છે, જેની ચાવીઓ એ પ્રમાણીકરણ આપલેમાંથી ઉતરે છે. ત્રણેયનું નામ લેવાથી પછીનો સુધારો ખોટા સ્તર પર નથી ઉતરતો.

વિકિ પૃષ્ઠ પર ભરોસો કરવાને બદલે જીવંત ગોઠવણી વાંચો, અને ફાઇલ, શ્રોતા અને પ્રમાણિત થયેલા છેલ્લા સત્રો નોંધો.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows ની રિમોટ ઍક્સેસ ભૂમિકામાં એ જ ઇન્વેન્ટરી બે આદેશોમાંથી આવે છે, અને બીજો મહત્વનો છે કારણ કે ભૂમિકા એકસાથે ઘણી પદ્ધતિઓની જાહેરાત કરી શકે છે જ્યારે ક્ષેત્રના ક્લાયન્ટ હંમેશા ફક્ત સૌથી નબળી પદ્ધતિ પર જ સંમત થાય છે.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

આજે ટનલ ખરેખર શું વહન કરે છે તે નક્કી કરો

બદલી પસંદ કરતા પહેલાં વપરાશકર્તાઓની યાદી બનાવો: ફરતા લેપટોપ, શાખા રાઉટર, પેમેન્ટ ટર્મિનલ, ક્ષેત્રીય ટેબ્લેટનો સમૂહ. જેને ફક્ત એક આંતરિક હોસ્ટ સુધી પહોંચવું હોય તેને ખસેડવો સહેલો છે. જે હાર્ડવેરમાં જડાયેલો છે જેને તમે ફરીથી ફ્લેશ કરી શકતા નથી તેને ક્લાયન્ટ અપગ્રેડને બદલે મધ્યવર્તી ગેટવેની જરૂર પડી શકે છે, અને એ નિર્ણય યોજનાનો ભાગ છે, સંક્રમણની વચ્ચેનો નહીં.

પછી પૂછો કે જે હુમલાખોર લોગિન આપલે જોઈ શકે અથવા તેના પર અસર કરી શકે તેને શું મળે. MS-CHAPv2 સાથે જવાબમાં એવી સામગ્રી છે જે વપરાશકર્તાનો પાસવર્ડ ઑફલાઇન પુનઃપ્રાપ્ત કરવાની મંજૂરી આપે છે, અને તેથી જ લંબાઈ અને ફેરબદલી ડિઝાઇન સુધારતા નથી: પુનઃપ્રાપ્ત રહસ્ય દરેક એ સિસ્ટમ પર માન્ય છે જ્યાં વપરાશકર્તાએ તેનો પુનઃઉપયોગ કર્યો.

MPPE એ જ નબળાઈ વારસામાં લે છે, કારણ કે તેની ચાવીઓ એ આપલેમાંથી આવે છે, અને તે તમને આધુનિક AEAD સાઇફરની પેકેટ-દીઠ અખંડિતતા અને પુનઃપ્રસારણ વર્તન આપતું નથી. જે સત્ર સ્વચ્છ રીતે પ્રમાણિત થાય છે તેણે ફક્ત ગોઠવેલી ચકાસણીઓ સાથે સુસંગતતા સાબિત કરી છે, વધુ નહીં.

ન તો ટૂંકો બપોરનો વિરામ ન તો નાની વપરાશકર્તા સંખ્યા ક્રિપ્ટોગ્રાફિક ગુણધર્મને નીતિગત ગુણધર્મમાં ફેરવે છે.

એક જ જાળવણી વિન્ડોમાં માઇગ્રેશન કરો

બદલી ઊભી કરો, એક પાયલટ જૂથ સાથે સાબિત કરો, પછી જૂના શ્રોતાને શાંત બેકઅપ તરીકે છોડવાને બદલે બંધ કરો. જે બેકઅપ સુધી હજી બધા પહોંચી શકે તે માઇગ્રેશન નથી, અને તે નબળી આપલેને બરાબર એ વપરાશકર્તાઓ માટે ખુલ્લી રાખે છે જેઓ ક્યારેય બદલવાની તસ્દી લેતા નથી.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

એ જ વિન્ડોમાં ફાયરવોલ માર્ગ બંધ કરો. GRE પાસે યાદ રાખવા જેવો કોઈ પોર્ટ નથી, તેથી નંબર દ્વારા પ્રોટોકોલ 47 ની પરવાનગી આપતો નિયમ સહેલાઈથી ધ્યાનમાં ન આવે અને ડિમન ગયા પછી પણ સેવાને પહોંચી શકાય તેવી રાખે. તમે દૂર કરેલો નિયમ, તેની અગાઉની સ્થિતિ અને કારણ નોંધો, જેથી પછીની ફેરફાર-સમીક્ષા તેને ભૂલથી પુનઃસ્થાપિત ન કરે.

ક્રેડેન્શિયલને ગોઠવણીથી અલગ સંભાળો. ક્લાયન્ટ પ્રોફાઇલ દૂર કરવું રદ કરવું નથી, અને જે ખાતું બીજે હજી પ્રમાણિત થાય છે તે નિવૃત્ત થયું નથી.

ચકાસો કે બદલી એ કામ કરે છે જે PPTP કરતું હતું

ચેકલિસ્ટ “જોડાય છે કે નહીં” નથી. તે એ છે કે પ્રમાણીકરણ, સરનામા ફાળવણી, DNS ઉકેલ, માર્ગ પસંદગી, પુનઃજોડાણ વર્તન અને સહભાગી ચકાસણી બધું બદલી હેઠળ ટકે છે કે નહીં. દરેકને પાયલટ ઉપકરણ પર, એ જ ક્રમમાં ચકાસો, અને અવલોકિત પરિણામ અપેક્ષાની બાજુમાં લખો.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

ઇન્ટરફેસ પરનું સરનામું સાબિત કરે છે કે વાટાઘાટ પૂરી થઈ. તે સાબિત કરતું નથી કે દૂરની બાજુએ તમે ધારેલા માર્ગને અધિકૃત કર્યો છે, અને ઉપરની શોધ ફક્ત આ હોસ્ટ માટે જવાબ આપે છે, ફોરવર્ડ કરેલા LAN માટે નહીં. રિઝોલ્વરનો જવાબ રિઝોલ્વરની પહોંચ સાબિત કરે છે, એ નહીં કે સ્પ્લિટ-DNS નીતિ સાચા નામો ત્યાં મોકલે છે.

પુનઃજોડાણ સૌથી છેલ્લે ચકાસો, કારણ કે ત્યાં જ મોટા ભાગની બદલીઓ પાછળ પડે છે: લેપટોપને સ્લીપમાં મૂકો, નેટવર્ક બદલો, અને ખાતરી કરો કે ટનલ જૂના માર્ગો છોડ્યા વિના ફરી સ્થપાય છે.

રોલબેક, રદ કરવું અને તમે છોડેલો રેકોર્ડ

રોલબેક સેવા પુનઃસ્થાપિત કરે છે; તે સુરક્ષા પુનઃસ્થાપિત કરતું નથી, અને વિન્ડો ખૂલે તે પહેલાં એ ફરક મોટેથી કહેવો જોઈએ. જો નવો માર્ગ નિષ્ફળ જાય, તો વપરાશકર્તાઓને બીજા આધુનિક અંત્યબિંદુ અથવા કામચલાઉ ગેટવે દ્વારા પાછા લાવો, બધા માટે PPTP ફરી ચાલુ કરીને નહીં. જૂના પ્રોટોકોલ પર એક કટોકટી માર્ગ રાખવો તમે હમણાં દસ્તાવેજ કરેલા એક્સપોઝરને પહોળો કરે છે.

સંક્રમણ પછી PPTP પર પ્રમાણિત થયેલા ખાતાં રદ કરો, તેમની સંગ્રહિત પ્રોફાઇલ સમાપ્ત થવા દો, અને ખાતરી કરો કે GRE નિયમ દરેક ધાર-ઉપકરણમાંથી ગયો છે, જેમાં એ આપત્તિ-પુનઃપ્રાપ્તિ નકલ પણ છે જે કોઈને યાદ નથી.

ટૂંકો રેકોર્ડ છોડો: તમને મળેલા પ્રોટોકોલ, દરેક શ્રોતા બંધ થયાની તારીખ, બદલી જે ક્લાયન્ટ આવૃત્તિઓને સમર્થન આપે છે, અને જે માલિક નિર્ણય ફરી ખોલી શકે છે. પાસવર્ડ સ્વચ્છતા પછી પણ મહત્વની છે, પણ જે પ્રોટોકોલ તેને લાયક છે તેના પર સ્વચ્છતા તરીકે, જૂનાને જીવતો રાખવાના દલીલ તરીકે નહીં.