RouterOS OpenVPN og NPS: stilltu user-auth-method, ekki auth

Í RouterOS velur auth þekjuna fyrir göngin en user-auth-method ákveður hvernig RADIUS-beiðnin er skoðuð. Lagaðu hið síðara að NPS-stefnunni.

RouterOS getur náð til NPS með OpenVPN-innskráningu og samt verið hafnað, og algeng orsök eru tvær stillingar sem báðar hljóma eins og auðkenning. Önnur velur dulmálsþekju fyrir göngin; hin ákveður hvernig skilríki notandans eru kynnt fyrir RADIUS. Þekjubreyting mun aldrei breyta PAP-beiðni í MS-CHAPv2, sama hversu oft þjónustan er endurræst. Gátlistinn hér að neðan aðgreinir þetta tvennt og fylgir svo einni misheppnaðri innskráningu í gegnum NPS-stefnuna sem dæmdi hana.

Skref 1: lestu báðar stillingarnar áður en þú breytir annarri

Prentaðu virka OpenVPN-þjónsstillingu á beininum sem lýkur göngunum, ekki úr öryggisafriti eða afrituðum forumfærslu. Þau tvö svæði sem þú hefur áhuga á eru venjulega í sama valmynd og lesast eins og þau séu valkostir. Þau eru það ekki: annað snýst um gagnarásina, hitt um skipti á skilríkjum.

/interface ovpn-server server print
/interface ovpn-server server export

Svæðið auth listar þekjur eins og sha1 og sha256 og stýrir HMAC sem auðkennir göngupakka. Svæðið user-auth-method velur pap eða mschap2 og ákveður hvernig beinirinn kynnir skilríki notandans fyrir RADIUS. Þekjubreyting getur ekki breytt seinni hegðuninni, og þess vegna lifir sama höfnun af hverri stillingu á þeirri fyrri.

Stoppaðu hér ef útgáfan þín sýnir user-auth-method alls ekki. Eldri RouterOS-útgáfur bjóða það kannski ekki á OpenVPN-þjóninum, og lagfæringin tilheyrir útgáfu sem þú getur stutt, ekki skipun sem afrituð er úr nýrri.

Skref 2: finndu stefnuna sem hafnaði innskráningunni í raun

Á NPS-hliðinni er tengibeðni metin gegn netstefnum, og auðkenningaraðferðin sem nefnd er í samsvarandi stefnu verður að vera ein sem biðlarinn bauð í raun. Tengdu eina misheppnaða innskráningu eftir tíma og notanda í stað þess að lesa samantektartölu. Öryggisannállinn skráir samþykktar og hafnaðar beiðnir með ástæðukóða, sem segir þér miklu meira en almenn bilunarlína beinisins.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Lestu þrjá hluti í atburðinum: nafn samsvarandi stefnu, auðkenningaraðferðina og ástæðukóðann. Stefna sem krefst MS-CHAPv2 hafnar PAP-beiðni jafnvel þegar lykilorðið er rétt, og stefna sem krefst lénsreiknings hafnar staðbundnum. RADIUS-biðlarafærslan verður líka að passa við upprunafang beinisins, annars er beiðninni hent áður en nokkur stefna er skoðuð. Ekkert af þessu birtist í OpenVPN-annálnum.

Stoppaðu hér ef beiðnin nær aldrei til NPS. Það er vandamál með sameiginlegt leyndarmál, biðlarafang eða UDP 1812, og að breyta auðkenningaraðferðum lagar það ekki.

Skref 3: breyttu einni aðferð, á báðum hliðum

Ef samþykkta hönnunin er MS-CHAPv2 skaltu stilla hana á beininum og staðfesta að samsvarandi stefna samþykki hana. Breyttu annarri hliðinni, prófaðu aftur og breyttu svo hinni; að breyta báðum í einu gerir þér ókleift að segja hvor skipti máli.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Ekki virkja hverja veikari aðferð á NPS til að láta villuna hverfa. Bakendinn verður að hafa efni sem valda aðferðin getur staðfest: MS-CHAPv2 þarf aðgang að lykilorðinu eða léninu, og stefna getur ekki fundið það efni upp. Að víkka stefnuna víkkar líka það sem árásarmaður getur prófað gegn sama reikningi. Skráðu aðferðina, nafn stefnunnar og tilvísun breytingarinnar saman, svo næsta manneskja erfi ákvörðun en ekki ágiskun.

Hafðu vottorðasannprófun ganganna nákvæmlega eins og hún var. Skilríkjaaðferð kemur ekki í stað auðkennis þjónsins, og að lækka TLS-prófanir svo próf standist skiptir einu vandamáli fyrir verra.

Skref 4: prófaðu þrjár innskráningar og eitt leyfi

Prófaðu leyfðan notanda, rangt lykilorð og útilokaðan notanda, hvern í nýrri lotu. Fyrsta prófið sannar slóðina, annað sannar að skilríkaprófunin er raunveruleg og þriðja sannar að stefnan útilokar enn þá sem hún á að útiloka. Skyndiminnið lota getur falið öll þrjú, svo aftengdu milli tilrauna.

/log print where topics~"ovpn"
/radius monitor 0

Árangursrík auðkenning er ekki endir gátlistans. Athugaðu fangið sem biðlarinn fékk og auðlindirnar sem það fang nær, því notandi getur auðkennt sig rétt og lent samt í röngum hópi. Ef úthlutað fang er rangt er vandamálið í prófílnum eða í eiginleikum RADIUS-svarsins, ekki í aðferðinni. Staðfestu hvort tveggja áður en þú lokar miðanum.

Gátlistanum er lokið þegar stilling beinisins og NPS-stefnan nefna sömu aðferð, leyfður notandi tengist í nýrri lotu, röngu lykilorði er hafnað, útilokaður notandi er áfram útilokaður og úthlutað fang passar við fyrirhugaðan hóp. Nokkuð minna lætur næstu innskráningu eftir tilviljun.

Tengdir greinar