Afnám PPTP/MS-CHAPv2: verkhandbók fyrir gamalt VPN

Lykilorð með tuttugu stöfum, sem skipt er út mánaðarlega og geymd í peningaskáp, gera PPTP-þjón með MS-CHAPv2 ekki að nútíma VPN. Lykilorðið er inntak í skiptingu þar sem veikleikinn býr í skiptingunni sjálfri. Þessi verkhandbók er fyrir þann sem erfði þennan þjón og þarf að flytja notendurna af honum án þess að skera af vefinn sem er háður honum. Farðu í gegnum skrefin í réttri röð, því hvert þeirra skilur eftir skrá sem þú munt þurfa þegar einhver spyr hvers vegna aðgangurinn breyttist skyndilega.

Skrifaðu niður staflann áður en þú snertir nokkuð

Þrjú lög renna saman í orðinu PPTP og hvert þeirra bregst á sinn hátt. Göngin eru PPTP sjálft, GRE auk TCP 1723. Auðkenningin er sú PPP-aðferð sem þjónninn býður, hér MS-CHAPv2. Tengivörnin er MPPE, en lyklar hennar eru leiddir af þeirri auðkenningarskiptingu. Að nefna öll þrjú kemur í veg fyrir að síðari lagfæring lendi á rangri laginu.

Lestu lifandi stillingarnar í stað þess að treysta wikisíðu, og skráðu skrána, hlustandann og síðustu lotur sem auðkenndust.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Á Windows-role fyrir fjartengingu kemur sama birgðaskrá úr tveimur skipunum, og sú seinni skiptir máli því role getur auglýst nokkrar aðferðir samtímis á meðan biðlarar á vettvangi semja alltaf bara um þá veikustu.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Ákveddu hvað göngin flytja í raun í dag

Skráðu notendurna áður en þú velur staðgengil: fartölvur á ferð, útibúsrouter, greiðsluterminal, sett af spjaldtölvum í vettvangi. Notanda sem þarf aðeins að ná í einn innri hýsil er auðvelt að flytja. Notandi sem er innbyggður í vélbúnað sem þú getur ekki endurflassað gæti þurft milligönguhlið í stað biðlarauppfærslu, og sú ákvörðun á heima í áætluninni, ekki í miðri yfirfærslunni.

Spyrðu svo hvað árásarmaður sem getur fylgst með innskráningarskiptingunni eða haft áhrif á hana myndi fá. Með MS-CHAPv2 felur svarið í sér efni sem gerir kleift að endurheimta lykilorð notandans án nettengingar, og einmitt þess vegna laga lengd og skipting hönnunina ekki: endurheimta leyndarmálið gildir á hverju kerfi þar sem notandinn notaði það aftur.

MPPE erfir sama veikleika, þar sem lyklar hennar koma úr þeirri skiptingu, og hún gefur þér hvorki heilleika hvers pakka né hegðun við endurspilun eins og nútíma AEAD dulritun. Lotu sem auðkennist hreint hefur aðeins sannað samhæfni við stilltu prófin og ekkert meira.

Hvorki stutt hádegishlé né lítill fjöldi notenda breytir dulritunar-eiginleika í stefnueiginleika.

Framkvæmdu flutninginn innan eins viðhaldsglugga

Reistu staðgengilinn, sannaðu hann með einum tilraunahópi, og stöðvaðu svo gamla hlustandann í stað þess að skilja hann eftir sem hljóðláta varaleið. Varaleið sem allir komast enn að er ekki flutningur, og hún heldur veiku skiptingunni aðgengilegri einmitt fyrir þá notendur sem nenna aldrei að skipta.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Lokaðu eldveggjarleiðinni í sama glugga. GRE hefur engan port sem þarf að muna, svo regla sem leyfir samskiptaregluna 47 eftir númeri er auðvelt að missa sjónar á og heldur þjónustunni aðgengilegri jafnvel eftir að púkinn er farinn. Skráðu regluna sem þú fjarlægðir, fyrri stöðu hennar og ástæðuna, svo síðari breytingayfirferð setji hana ekki aftur af slysni.

Meðhöndlaðu auðkenni aðskilin frá stillingunum. Að fjarlægja biðlarasnið er ekki afturköllun, og reikningur sem auðkennist enn annars staðar hefur ekki verið tekinn úr notkun.

Staðfestu að staðgengillinn vinni þau verk sem PPTP vann

Gátlistinn er ekki “tengist það”. Hann er hvort auðkenning, úthlutun vistfanga, DNS-upplausn, leiðarval, endurtengingarhegðun og jafningjastaðfesting halda öll enn undir staðgenglinum. Prófaðu hvert á tilraunatæki, í þeirri röð, og skrifaðu athugaða niðurstöðu við hlið væntingarinnar.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Vistfang á viðmótinu sannar að samningaviðræðunum lauk. Það sannar ekki að fjarlæga hliðin hafi heimilað leiðina sem þú býst við, og fyrirspurnin hér að ofan svarar aðeins fyrir þennan hýsil, ekki fyrir áframsent LAN. Svar leysis sannar aðgengi að leysi, ekki að stefna skiptrar DNS sendi réttu nöfnin þangað.

Prófaðu endurtengingu síðast, því þar dragast flestir staðgenglar aftur: setja fartölvu í svefn, skipta um net og staðfesta að göngin endurreisnist án þess að skilja eftir úreltar leiðir.

Afturköllun, bakfærsla og skráin sem þú skilur eftir

Bakfærsla endurheimtir þjónustu; hún endurheimtir ekki öryggi, og segja þarf þann mun upphátt áður en glugginn opnast. Ef nýja leiðin bregst, færðu notendurna aftur um annan nútíma endapunkt eða tímabundið hlið, ekki með því að kveikja aftur á PPTP fyrir alla. Að halda einni neyðarleið á gömlu samskiptareglunni eykur þá áhættu sem þú skjalfestir hér að ofan.

Eftir yfirfærsluna skaltu afturkalla reikningana sem auðkenndust yfir PPTP, láta geymd snið þeirra renna út og staðfesta að GRE-reglan sé farin af hverju jaðartæki, þar á meðal afritinu fyrir hamfarir sem enginn man eftir.

Skildu eftir stutta skrá: samskiptareglurnar sem þú fannst, dagsetningu hvers hlustanda, biðlaragerðir sem staðgengillinn styður og eigandann sem getur opnað ákvörðunina aftur. Lykilorðahreinlæti skiptir áfram máli eftir á, en sem hreinlæti á samskiptareglu sem á það skilið, ekki sem rök fyrir því að halda þeirri gömlu lifandi.