PPTP/MS-CHAPv2-ի դուրսբերում. ձեռնարկ հին VPN-ի համար

Քսան նիշանոց գաղտնաբառերը, որոնք ամեն ամիս փոխվում են և պահվում են պահարանում, MS-CHAPv2-ով աշխատող PPTP սերվերը ժամանակակից VPN չեն դարձնում։ Գաղտնաբառը մի փոխանակության մուտք է, որի թուլությունը հենց այդ փոխանակության մեջ է։ Այս ձեռնարկը նրա համար է, ով ժառանգել է այդ սերվերը և պետք է օգտվողներին տեղափոխի դրանից՝ չկտրելով դրանից կախված տեղամասը։ Քայլերը կատարեք հերթականությամբ, որովհետև յուրաքանչյուրը թողնում է գրառում, որը ձեզ պետք կգա, երբ ինչ-որ մեկը հարցնի, թե ինչու հանկարծ փոխվեց հասանելիությունը։

Գրեք շերտերը, նախքան որևէ բանի դիպչելը

Երեք շերտ միաձուլվում են PPTP բառի մեջ, և յուրաքանչյուրը ձախողվում է իր ձևով։ Թունելը հենց PPTP-ն է՝ GRE գումարած TCP 1723։ Նույնականացումը այն PPP մեթոդն է, որն առաջարկում է սերվերը, այստեղ՝ MS-CHAPv2։ Կապի պաշտպանությունը MPPE-ն է, որի բանալիները ածանցվում են այդ նույնականացման փոխանակությունից։ Երեքի անվանումը թույլ չի տալիս, որ հետագա ուղղումը վայրէջք կատարի սխալ շերտի վրա։

Կարդացեք կենդանի կոնֆիգուրացիան՝ վիքի էջին վստահելու փոխարեն, և գրի առեք ֆայլը, լսիչը և վերջին նույնականացված սեսիաները։

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows-ի հեռավոր հասանելիության դերում նույն գույքագրումը գալիս է երկու հրամանից, և երկրորդը կարևոր է, որովհետև դերը կարող է միաժամանակ հայտարարել մի քանի մեթոդ, մինչդեռ դաշտում գտնվող հաճախորդները միշտ բանակցում են միայն ամենաթույլի շուրջ։

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Որոշեք, թե այսօր ինչ է իրականում տեղափոխում թունելը

Թվարկեք սպառողներին՝ նախքան փոխարինող ընտրելը. շրջող նոթբուքեր, մասնաճյուղի երթուղիչ, վճարային տերմինալ, դաշտային պլանշետների հավաքածու։ Սպառողը, որին պետք է հասնել միայն մեկ ներքին հոսթի, հեշտ է տեղափոխել։ Սարքաշարում ներկառուցված սպառողը, որը չեք կարող վերապրոգրամավորել, կարող է պահանջել միջանկյալ դարպաս՝ հաճախորդի թարմացման փոխարեն, և այդ որոշումը տեղ ունի պլանում, ոչ թե անցման մեջտեղում։

Հետո հարցրեք, թե ինչ կստանա հարձակվողը, որը կարող է դիտել կամ ազդել մուտքի փոխանակության վրա։ MS-CHAPv2-ի դեպքում պատասխանը ներառում է նյութ, որը թույլ է տալիս առանց ցանցի վերականգնել օգտվողի գաղտնաբառը, և հենց դրա համար երկարությունը և պտույտը չեն ուղղում նախագծումը. վերականգնված գաղտնիքը վավեր է յուրաքանչյուր համակարգում, որտեղ օգտվողը կրկին օգտագործել է այն։

MPPE-ն ժառանգում է նույն թուլությունը, քանի որ նրա բանալիները գալիս են այդ փոխանակությունից, և այն ձեզ չի տալիս ժամանակակից AEAD գաղտնագրի փաթեթային ամբողջականությունը և կրկնության վարքը։ Սեսիան, որ մաքուր նույնականացվում է, ապացուցել է միայն կարգավորված ստուգումների հետ համատեղելիությունը և ոչ ավելին։

Ոչ կարճ ճաշի ընդմիջումը, ոչ օգտվողների փոքր թիվը չեն վերածում գաղտնագրային հատկությունը քաղաքականության հատկության։

Կատարեք տեղափոխությունը մեկ սպասարկման պատուհանում

Կանգնեցրեք փոխարինողը, ապացուցեք այն մեկ փորձնական խմբով, ապա կանգնեցրեք հին լսիչը՝ այն որպես լուռ պահուստ թողնելու փոխարեն։ Պահուստը, որին դեռ բոլորը կարող են հասնել, տեղափոխություն չէ, և այն թույլ փոխանակությունը հասանելի է պահում հենց այն օգտվողների համար, ովքեր երբեք չեն անհանգստանում անցնել։

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Փակեք հրդեհային պատի ուղին նույն պատուհանում։ GRE-ն հիշելու պորտ չունի, ուստի 47 արձանագրությունը համարով թույլատրող կանոնը հեշտ է բաց թողնել, և այն ծառայությունը հասանելի է թողնում նույնիսկ դեմոնի գնալուց հետո։ Գրանցեք հեռացված կանոնը, նրա նախկին դիրքը և պատճառը, որպեսզի հետագա փոփոխությունների վերանայումը պատահաբար չվերականգնի այն։

Հավատարմագրերը վարեք կոնֆիգուրացիայից առանձին։ Հաճախորդի պրոֆիլի հեռացումը չեղարկում չէ, և այն հաշիվը, որը դեռ նույնականացվում է այլ տեղ, դուրս չի բերվել։

Ստուգեք, որ փոխարինողը կատարում է այն աշխատանքը, որ կատարում էր PPTP-ն

Ստուգաթերթը «միջո՞ւմ է» չէ։ Այն է, թե արդյոք նույնականացումը, հասցեների բաշխումը, DNS-ի լուծումը, երթուղու ընտրությունը, վերամիացման վարքը և զուգընկերոջ ստուգումը դեռ պահպանվում են փոխարինողի ներքո։ Փորձարկեք յուրաքանչյուրը փորձնական սարքում, այդ հերթականությամբ, և դիտարկված արդյունքը գրեք սպասելիքի կողքին։

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Ինտերֆեյսի հասցեն ապացուցում է, որ բանակցությունը ավարտվել է։ Այն չի ապացուցում, որ հեռավոր կողմը լիազորել է ձեր սպասած երթուղին, և վերևի հարցումը պատասխանում է միայն այս հոսթի համար, ոչ փոխանցված LAN-ի։ Լուծիչի պատասխանը ապացուցում է լուծիչի հասանելիությունը, ոչ այն, որ բաժանված DNS քաղաքականությունը ճիշտ անուններն է ուղարկում այնտեղ։

Վերամիացումը ստուգեք վերջինը, որովհետև այնտեղ են հետընթաց ապրում փոխարինողների մեծ մասը. քնեցրեք նոթբուքը, փոխեք ցանցերը և հաստատեք, որ թունելը վերականգնվում է առանց հնացած երթուղիներ թողնելու։

Հետադարձ, չեղարկում և ձեր թողած գրառումը

Հետադարձը վերականգնում է ծառայությունը. այն չի վերականգնում անվտանգությունը, և այդ տարբերությունը պետք է բարձրաձայն ասել նախքան պատուհանի բացվելը։ Եթե նոր ուղին ձախողվի, օգտվողներին հետ բերեք երկրորդ ժամանակակից վերջնակետով կամ ժամանակավոր դարպասով, ոչ թե բոլորի համար PPTP-ն նորից միացնելով։ Հին արձանագրության վրա մեկ արտակարգ ուղի պահելը լայնացնում է այն ազդեցությունը, որը դուք հենց նոր փաստաթղթավորեցիք։

Անցումից հետո չեղարկեք PPTP-ով նույնականացած հաշիվները, թողեք դրանց պահված պրոֆիլները սպառվեն, և հաստատեք, որ GRE կանոնը անհետացել է յուրաքանչյուր եզրային սարքից, ներառյալ այն աղետի վերականգնման պատճենը, որը ոչ ոք չի հիշում։

Թողեք կարճ գրառում. ձեր գտած արձանագրությունները, յուրաքանչյուր լսիչի կանգնելու ամսաթիվը, փոխարինողի աջակցած հաճախորդի տարբերակները և այն սեփականատերը, ով կարող է նորից բացել որոշումը։ Գաղտնաբառի հիգիենան դրանից հետո էլ կարևոր է, բայց որպես հիգիենա այն արձանագրության վրա, որը դրան արժանի է, ոչ որպես փաստարկ հինը կենդանի պահելու։