Windows VPN-ի կարծրացում. նախ ուղղեք վավերացումը, հետո թունելը

Ձեր Windows VPN սերվերը հարցնում է օգտանուն և գաղտնաբառ, և այդ միակ երկխոսությունը թաքցնում է երեք անկախ պարտականություն։ Մեկն ապացուցում է, թե ով է մարդը, մեկը թույլ չի տալիս, որ լարը դիտողը կրկին օգտագործի այդ ապացույցը, և մեկը որոշում է, թե որ հասցեներին նա կարող է դիմել հետո։ Փոքր տեղադրությունների մեծ մասը նախ կարծրացնում է թունելը և առաջին երկու պարտականությունները թողնում է լռելյայն արժեքներին, ինչը սխալ կարգ է։

Աշխատեք այն կարգով, ինչով աշխատում է հարձակվողը։ Նախ այն, ինչ կարելի է որսալ լարից։ Հետո այն, ինչ կարելի է ավելի ուշ կրկնարկել այդ ձայնագրությամբ։ Վերջում այն, ինչին վավերացված հարձակվողը կարող է հասնել ներսում հայտնվելով։

Երեք պարտականություն, մեկ երկխոսություն

Ինքնությունը այն մասն է, ինչի մասին մարդիկ մտածում են, և դա ընդամենը խնդրի մեկ երրորդն է։ Ինքնության ապացույցը պետք է դիմանա դիտորդին, որը ձայնագրում է փոխանակումը և ավելի ուշ նորից փորձում։ Իսկ լիազորումը առանձին որոշում է, որը սերվերը կայացնում է ինքնությունը պարզելուց հետո, և Windows-ը պահում է այն այլ ծառայության մեջ, քան այն, որը ստուգում է հավատարմագրերը։

Երբ բոլոր երեքը ապրում են մեկ մտավոր դույլում, սովորական արդյունքը սերվերն է, որը ուժեղ վավերացնում է և հետո թույլ է տալիս օգտվողին հասնել ամեն ինչի։ Դա ավելի ուշ ուղղելը ավելի դժվար է, քան հիմա քաղաքականությունը որոշելը, քանի որ այդ ժամանակ դիտիչի պրոֆիլը, հասցեների լողավազանը և երթուղիներն արդեն կոդավորում են հին ենթադրությունը։

Առանձնացրեք երեքը ձեր նշումներում, նախքան որևէ կարգավորում դիպչելը, ապա ուղղեք դրանք ամենաթույլ օղակից վերև։

Ինչու MS-CHAPv2-ը չի դիմանում կրկնարկման փորձությանը

Եթե սերվերը դեռ ընդունում է PPTP-ն MS-CHAPv2-ով, ապա թունելը գաղտնաբառը չի պաշտպանում ոչ մի իմաստալից առումով։ Մարտահրավերն ու պատասխանը կարելի է որսալ և առցանցից դուրս հարձակման ենթարկել, և 2012-ին հանրային ճեղքման ծառայությունը ցույց տվեց նման ձեռքսեղմումից վերականգնում մոտավորապես մեկ օրում սովորական գաղտնաբառի դեպքում։ Ավելի երկար և բարդ գաղտնաբառը բարձրացնում է արժեքը. այն չի հեռացնում այն նյութը, ինչ հարձակվողին պետք է ցանցից։

Ձեր ուզած հատկությունը հավատարմագիր է, որը հնարավոր չէ կրկնարկել։ EAP-TLS-ը հաճախորդի վկայականներով յուրաքանչյուր սարքի տալիս է իր ինքնությունը և թույլ է տալիս չեղարկել հենց մեկ սարք։

Վկայականների տեղակայումը իսկական աշխատանք է. մասնավոր CA, չեղարկման ուղի, որը հաճախորդները ստուգում են, և նորացման ծրագիր, որը դիմանում է անձնակազմի փոփոխությանը։ Վերաբերվեք այդ աշխատանքին որպես նախագծի, ոչ որպես խոչընդոտ ձեր և աշխատող թունելի միջև։ Բյուջե հատկացրեք դրա համար այնպես, ինչպես կհատկացնեիք դիտիչի փոխարինմանը։ Ընդհանուր գաղտնաբառը ավելի էժան է միայն մինչև առաջին չեղարկումը։

Նախապես բաժանված բանալին վավերացնում է զույգին, ոչ անձին

L2TP/IPsec-ը նախապես բաժանված բանալիով ապացուցում է, որ երկու դարպասներ գիտեն նույն գաղտնիքը։ Այն ոչինչ չի ասում, թե որ մարդն է միանում, և այդ շերտում չի կարող տարբերել մի աշխատակցի մյուսից։ Օգտագործեք երկար պատահական արժեք՝ շատ ավելի քան տասը նիշը, որ առաջարկում են որոշ ուղեցույցներ, քանի որ ով որսա ձեռքսեղմումը, կարող է բանալու վրա հարձակվել առցանցից դուրս։

Այդ պրոֆիլի յուրաքանչյուր հաճախորդ կիսում է գաղտնիքը, ուստի մեկ մարդու հեռացումը նշանակում է այն նորից բաժանել մնացած բոլորին։ Պահեք օգտվողի վավերացման առանձին քայլ մեքենայի մակարդակի գաղտնիքից վեր, և անցեք վկայականներին, երբ հաճախորդների թիվը աճի։ Նախապես բաժանված բանալին MS-CHAPv2-ի հետ միասին երկու թույլ շերտ են, և երկրորդը զրոյացնում է առաջինը։

Լիազորումը տեղ ունի Network Policy Server-ում

Windows-ի NPS-ը որոշում է, թե ով կարող է միանալ, և դա անում է այն բանից հետո, երբ վավերացումն արդեն հաջողվել է։ Այդ բաժանումը արտադրանքի ամենաօգտակար կարծրացման հսկողությունն է, և շատ տեղադրումներ այն անձեռնմխելի են թողնում։

Օգտագործեք քաղաքականության պայմաններ, որոնք արտացոլում են իրական սահմանափակումները. խմբի անդամակցություն, այն ժամանակահատվածը, երբ աջակցությունը համալրված է, և սարքի վիճակը առողջության ստուգումից։ Ավելացրեք երկրորդ գործոն այնտեղ, որտեղ տվյալները արդարացնում են շփումը, և հիշեք, որ քաղաքականությունը գնահատվում է յուրաքանչյուր միացման փորձի համար, ինչը այն դարձնում է կենդանի հսկողություն, ոչ թե փաստաթուղթ։

RADIUS-ի հաշվառումը նաև ձեզ տալիս է մեկ գրառում, թե ով և երբ միացավ։ Այդ մատյանը տարբերությունն է միջադեպի վերանայման և գուշակության միջև, և այն գոյություն ունի անկախ այն բանից, կարդում է այն ինչ-որ մեկը, թե ոչ։

Սահմանափակեք, թե ուր կարող է հասնել հաջող մուտքը

VPN-ադապտերը պետք է իջնի դիտիչի այնպիսի պրոֆիլում, որը թույլ է տալիս իր դերին անհրաժեշտ ծառայությունները, ոչ թե ամբողջ ենթացանցը։ Երթուղավորման հարցը զտումից առանձին է։ Ամբողջական թունելը պաշտպանում է հաճախորդի սարքը և յուրաքանչյուր բայթ անցկացնում ձեր վերին կապուղով, իսկ բաժանված թունելը տեղական երթևեկությունը պահում է տեղական և սարքը ենթարկում է այն ցանցին, որում այն պատահաբար գտնվում է։

Երկու ընտրանքներից ոչ մեկը անվտանգության լռելյայն արժեք չէ։ Երկուսն էլ պետք է գրվեն այն դիտիչի պրոֆիլի կողքին, որը նրանք ենթադրում են։

Ստուգեք ձախողման ուղիները

Փորձարկեք, թե ինչ պետք է կոտրվի. սխալ գաղտնաբառ, ժամկետանց վկայական, չեղարկված սարք, խմբից դուրս օգտվող։ Յուրաքանչյուրը պետք է ձախողվի տարբեր կետում, և մատյանը պետք է ասի, թե որն էր։ Նախ գործարկեք հավաքածուն փորձնական հաշվի վրա, ապա կրկնեք իրական օգտվողի համար։ Առանց պատճառի իրադարձությունների մատյան հասնող մերժումը արժե ուղղել շատ ավելի վաղ, քան ձեզ պետք կգա այդ գրառումը։

Ապա հաստատեք, թե որ պորտերն են հրապարակված և ինչու։ PPTP-ին պետք է TCP 1723 և GRE որպես IP արձանագրություն, ոչ որպես պորտ, IKEv2-ին պետք է UDP 500 և 4500, իսկ L2TP-ին պետք է UDP 1701 գումարած IPsec։ Կառավարման ինտերֆեյս բացելը, որպեսզի հաճախորդը միանա, վերանորոգում չէ, այլ երկրորդ միջադեպ, որը սպասում է հայտնաբերմանը։

Վերջում որոշեք, թե ինչ է գրանցում սերվերը և որքան ժամանակ։ Առանց վավերացման պատմության ծայրակետը չի կարող պատասխանել միջադեպից հետո առաջին հարցին, այն է՝ արդյոք փորձը երբևէ լիազորված է եղել։