Herðing Windows VPN: lagaðu auðkenninguna fyrir göngin

Windows VPN þjónninn þinn biður um notandanafn og lykilorð, og sá eini gluggi felur þrjú ótengd hlutverk. Eitt sannar hver manneskjan er, eitt kemur í veg fyrir að einhver sem fylgist með línunni noti þá sönnun aftur, og eitt ræður því hvaða netföng hún má ná til á eftir. Flestar litlar uppsetningar herða göngin fyrst og láta fyrstu tvö hlutverkin standa á sjálfgefnum gildum, sem er röng röð.

Vinnðu í þeirri röð sem árásarmaðurinn vinnur í. Fyrst það sem hægt er að grípa af línunni. Þá það sem hægt er að spila aftur síðar með þeirri upptöku. Loks það sem auðkenndur árásarmaður nær til þegar hann er kominn inn.

Þrjú hlutverk, einn gluggi

Auðkenni er sá hluti sem fólk hugsar um, og hann er aðeins þriðjungur vandans. Sönnun auðkennis verður að standast áhorfanda sem tekur upp skiptin og reynir aftur síðar. Heimild er sérstök ákvörðun sem þjónninn tekur eftir að auðkenni er ákveðið, og Windows geymir hana í annarri þjónustu en þeirri sem staðfestir skírteini.

Þegar öll þrjú búa í einum hugrænum fötunni er algenga niðurstaðan þjónn sem auðkennir sterkt og leyfir notandanum svo að ná til alls. Að laga það síðar er erfiðara en að ákveða stefnuna núna, því þá kóða eldveggssniðið, netfangasafnið og leiðirnar allar gömlu forsenduna.

Aðskildu þrjú í minnispunktunum þínum áður en þú snertir stillingu, og lagaðu þau svo frá veikustu hlekknum og upp.

Hvers vegna MS-CHAPv2 stenst ekki endurspilunarpróf

Ef þjónninn samþykkir enn PPTP með MS-CHAPv2 ver göngin ekki lykilorðið á neinn merkilegan hátt. Hægt er að grípa áskorunina og svarið og ráðast á þau utan línu, og árið 2012 sýndi opinber sprengjuþjónusta endurheimt úr slíkri handabandi á um það bil einum degi fyrir dæmigert lykilorð. Lengra og flóknara lykilorð hækkar kostnaðinn; það fjarlægir ekki efnið sem árásarmaðurinn þarf úr netinu.

Eiginleikinn sem þú vilt er skírteini sem ekki er hægt að spila aftur. EAP-TLS með biðlara-vottorðum gefur hverju tæki eigið auðkenni og leyfir þér að afturkalla nákvæmlega eitt tæki.

Uppsetning vottorða er alvöru vinna: einkarekið CA, afturköllunarleið sem biðlarar athuga og endurnýjunaráætlun sem stenst starfsmannaveltu. Meðhöndlaðu þá vinnu sem verkefnið en ekki sem hindrun milli þín og virkra ganga. Fjárhagsáætlaðu hana eins og þú myndir áætla skipti á eldvegg. Sameiginlegt lykilorð er ódýrara aðeins þar til fyrsta afturköllunin kemur.

Fyrirfram deildur lykill auðkennir parið, ekki manneskjuna

L2TP/IPsec með fyrirfram deildum lykli sannar að tvö hlið þekkja sama leyndarmálið. Það segir ekkert um hvaða manneskja tengist, og það getur ekki greint einn starfsmann frá öðrum á því lagi. Notaðu langt slembigildi, langt umfram þau tíu stafir sem sumir leiðarvísar stinga upp á, því hver sem grípur handabandið getur ráðist á lykilinn utan línu.

Hver biðlari á því sniði deilir leyndarmálinu, svo að fjarlægja eina manneskju þýðir að endurdreifa því til allra sem eftir eru. Hafðu sérstakt skref fyrir auðkenningu notanda ofan á leyndarmál vélarstigs, og skiptu yfir í vottorð eftir því sem biðlarahópurinn stækkar. Fyrirfram deildur lykill ásamt MS-CHAPv2 eru tvö veik lög, og hið síðara afturkallar hið fyrra.

Heimildin á heima í Network Policy Server

NPS í Windows ákveður hver má tengjast, og gerir það eftir að auðkenning hefur þegar tekist. Sú aðgreining er gagnlegasta herðingarstýringin í vörunni, og margar uppsetningar láta hana ósnerta.

Notaðu stefnuskilyrði sem endurspegla raunverulegar takmarkanir: hópmeðlimskapur, tímaglugginn þegar stuðningur er mönnuðum, og ástand tækis úr heilsuathugun. Bættu við öðrum þætti þar sem gögnin réttlæta núninginn, og mundu að stefnan er metin fyrir hverja tengingartilraun, sem gerir hana að lifandi stýringu en ekki skjali.

RADIUS-bókhald gefur þér líka eina færslu um hver tengdist og hvenær. Sú skrá er munurinn á atvikayfirferð og getgátu, og hún er til hvort sem einhver les hana eða ekki.

Takmarkaðu hvað árangursrík innskráning nær til

VPN-tengið ætti að lenda í eldveggssniði sem leyfir þá þjónustu sem hlutverkið þarf en ekki allt undirnetið. Leiðarspurningin er aðskilin frá síun. Full göng verja biðlaratækið og ýta hverju bæti í gegnum upptenginguna þína, en skipt göng halda staðbundinni umferð staðbundinni og afhjúpa tækið fyrir hvaða neti sem það er á.

Hvorugur valkosturinn er öryggissjálfgefið gildi. Báða þarf að skrifa niður við hlið eldveggssniðsins sem þeir gera ráð fyrir.

Staðfestu bilanaleyfðirnar

Prófaðu hvað ætti að brotna: rangt lykilorð, útrunnið vottorð, afturkallað tæki, notanda utan hóps. Hvert ætti að mistakast á öðrum stað, og skráin ætti að segja hvert það var. Keyrðu safnið fyrst á prófunarreikningi og endurtaktu svo fyrir raunverulegan notanda. Höfnun sem lendir í atvikaskrá án ástæðu er þess virði að laga löngu áður en þú þarft þá færslu.

Staðfestu svo hvaða gáttir eru birtar og hvers vegna. PPTP þarf TCP 1723 og GRE sem IP-samskiptareglu en ekki gátt, IKEv2 þarf UDP 500 og 4500, og L2TP þarf UDP 1701 auk IPsec. Að afhjúpa stjórnviðmót svo biðlari tengist er ekki viðgerð, heldur annað atvik sem bíður þess að uppgötvast.

Ákveddu að lokum hvað þjónninn skráir og hversu lengi. Endapunktur án auðkenningarsögu getur ekki svarað fyrstu spurningunni eftir atvik, nefnilega hvort tilraunin hafi nokkurn tíma verið heimiluð.