Windows VPN-ის გამაგრება: აუთენტიფიკაცია გვირაბამდე გაასწორეთ

თქვენი Windows VPN სერვერი ითხოვს მომხმარებლის სახელსა და პაროლს, და ეს ერთი დიალოგი მალავს სამ დაუკავშირებელ მოვალეობას. ერთი ამტკიცებს, ვინ არის ადამიანი, ერთი ხელს უშლის ხაზზე დამკვირვებელს გამოიყენოს ეს მტკიცებულება ხელახლა, ხოლო ერთი წყვეტს, რომელ მისამართებზე შეიძლება მოხვდეს შემდეგ. მცირე განლაგებათა უმეტესობა ჯერ გვირაბს ამაგრებს და პირველ ორ მოვალეობას ნაგულისხმევ მნიშვნელობებზე ტოვებს, რაც არასწორი თანმიმდევრობაა.

იმუშავეთ იმ თანმიმდევრობით, რომლითაც თავდამსხმელი მუშაობს. ჯერ ის, რისი ჩაჭერაც ხაზიდან შეიძლება. შემდეგ ის, რისი ხელახლა დაკვრაც მოგვიანებით ამ ჩანაწერით შეიძლება. ბოლოს, რასაც აუთენტიფიცირებული თავდამსხმელი შიგნით მოხვედრისას მიაღწევს.

სამი მოვალეობა, ერთი დიალოგი

იდენტობა ის ნაწილია, რაზეც ადამიანები ფიქრობენ, და ის პრობლემის მხოლოდ მესამედია. იდენტობის მტკიცებულებამ უნდა გაუძლოს დამკვირვებელს, რომელიც გაცვლას იწერს და მოგვიანებით ხელახლა ცდილობს. ავტორიზაცია ცალკე გადაწყვეტილებაა, რომელსაც სერვერი იდენტობის დადგენის შემდეგ იღებს, და Windows მას იმ სერვისისგან განსხვავებულ სერვისში ინახავს, რომელიც რწმუნებულებს ამოწმებს.

როცა სამივე ერთ გონებრივ ვედროში ცხოვრობს, ჩვეულებრივი შედეგია სერვერი, რომელიც ძლიერად აუთენტიფიცირებს და შემდეგ მომხმარებელს ყველაფერზე მიშვებას აძლევს. ამის მოგვიანებით გასწორება უფრო რთულია, ვიდრე პოლიტიკის ახლა გადაწყვეტა, რადგან მაშინ Firewall-ის პროფილი, მისამართების აუზი და მარშრუტები უკვე ძველ ვარაუდს კოდირებენ.

გამოყავით სამივე თქვენს ჩანაწერებში, სანამ რომელიმე პარამეტრს შეეხებით, შემდეგ გაასწორეთ ისინი ყველაზე სუსტი რგოლიდან ზემოთ.

რატომ ვერ უძლებს MS-CHAPv2 გამეორების ტესტს

თუ სერვერი ჯერ კიდევ იღებს PPTP-ს MS-CHAPv2-ით, გვირაბი პაროლს არ იცავს არც ერთი არსებითი გაგებით. გამოწვევისა და პასუხის ჩაჭერა და მათზე ხაზგარეშე თავდასხმა შეიძლება, და 2012 წელს საჯარო გატეხვის სერვისმა აჩვენა ასეთი ხელის ჩამორთმევიდან აღდგენა დაახლოებით ერთ დღეში ტიპიური პაროლისთვის. უფრო გრძელი და რთული პაროლი ხარჯს ზრდის; ის არ აშორებს იმ მასალას, რაც თავდამსხმელს ქსელიდან სჭირდება.

თქვენთვის სასურველი თვისება ისეთი რწმუნებულია, რომლის გამეორებაც შეუძლებელია. EAP-TLS კლიენტის სერტიფიკატებით თითოეულ მოწყობილობას საკუთარ იდენტობას აძლევს და საშუალებას გაძლევთ ზუსტად ერთი მოწყობილობა გააუქმოთ.

სერტიფიკატების განლაგება ნამდვილი სამუშაოა: კერძო CA, გაუქმების გზა, რომელსაც კლიენტები ამოწმებენ, და განახლების გეგმა, რომელიც პერსონალის ცვლას უძლებს. მოეკიდეთ ამ სამუშაოს როგორც პროექტს და არა როგორც დაბრკოლებას თქვენსა და მომუშავე გვირაბს შორის. გამოყავით ბიუჯეტი ისე, როგორც გამოყოფდით Firewall-ის შეცვლისთვის. საერთო პაროლი იაფია მხოლოდ პირველ გაუქმებამდე.

წინასწარ გაზიარებული გასაღები წყვილს აუთენტიფიცირებს, არა ადამიანს

L2TP/IPsec წინასწარ გაზიარებული გასაღებით ამტკიცებს, რომ ორმა კარიბჭემ ერთი და იგივე საიდუმლო იცის. ის არაფერს ამბობს იმაზე, რომელი ადამიანი უკავშირდება, და ამ დონეზე ერთ თანამშრომელს მეორისგან ვერ გაარჩევს. გამოიყენეთ გრძელი შემთხვევითი მნიშვნელობა, ბევრად მეტი ვიდრე ათი სიმბოლო, რომელსაც ზოგი სახელმძღვანელო გვთავაზობს, რადგან ვინც ხელის ჩამორთმევას ჩაიჭერს, გასაღებზე ხაზგარეშე შეტევას შეძლებს.

ამ პროფილის ყოველი კლიენტი საიდუმლოს იზიარებს, ამიტომ ერთი ადამიანის მოშორება ნიშნავს მის ხელახლა განაწილებას ყველა დარჩენილზე. შეინარჩუნეთ მომხმარებლის აუთენტიფიკაციის ცალკე ნაბიჯი მანქანის დონის საიდუმლოს ზემოთ, და გადადით სერტიფიკატებზე კლიენტების რაოდენობის ზრდასთან ერთად. წინასწარ გაზიარებული გასაღები MS-CHAPv2-თან ერთად ორი სუსტი ფენაა, და მეორე პირველს აუქმებს.

ავტორიზაცია Network Policy Server-შია

Windows-ზე NPS წყვეტს, ვის შეუძლია დაკავშირება, და ამას აუთენტიფიკაციის უკვე წარმატებით დასრულების შემდეგ აკეთებს. ეს გამიჯვნა პროდუქტში ყველაზე სასარგებლო გამაგრების კონტროლია, და ბევრი განლაგება მას ხელუხლებლად ტოვებს.

გამოიყენეთ პოლიტიკის პირობები, რომლებიც რეალურ შეზღუდვებს ასახავს: ჯგუფის წევრობა, დროის ფანჯარა, როცა მხარდაჭერა დაკომპლექტებულია, და მოწყობილობის მდგომარეობა ჯანმრთელობის შემოწმებიდან. დაამატეთ მეორე ფაქტორი იქ, სადაც მონაცემები ხახუნს ამართლებს, და გახსოვდეთ, რომ პოლიტიკა ფასდება ყოველ კავშირის ცდაზე, რაც მას ცოცხალ კონტროლად აქცევს და არა დოკუმენტად.

RADIUS-ის აღრიცხვა ასევე გაძლევთ ერთ ჩანაწერს იმის შესახებ, ვინ და როდის დაუკავშირდა. ეს ჟურნალი განსხვავებაა ინციდენტის განხილვასა და ვარაუდს შორის, და ის არსებობს მიუხედავად იმისა, წაიკითხავს მას ვინმე თუ არა.

შეზღუდეთ, სად შეიძლება მოხვდეს წარმატებული შესვლა

VPN ადაპტერი უნდა დაეშვას ისეთ Firewall-ის პროფილში, რომელიც მისი როლისთვის საჭირო სერვისებს რთავს და არა მთელ ქვექსელს. მარშრუტიზაციის საკითხი ფილტრაციისგან ცალკეა. სრული გვირაბი იცავს კლიენტის მოწყობილობას და ყოველ ბაიტს თქვენი ზედა არხით გზავნის, ხოლო გაყოფილი გვირაბი ადგილობრივ ტრაფიკს ადგილობრივად ინახავს და მოწყობილობას იმ ქსელის ზემოქმედების ქვეშ ტოვებს, რომელშიც აღმოჩნდება.

არც ერთი არჩევანი არ არის უსაფრთხოების ნაგულისხმევი. ორივე უნდა ჩაიწეროს იმ Firewall-ის პროფილის გვერდით, რომელსაც ისინი ვარაუდობენ.

შეამოწმეთ წარუმატებლობის გზები

გამოსცადეთ, რა უნდა გატყდეს: არასწორი პაროლი, ვადაგასული სერტიფიკატი, გაუქმებული მოწყობილობა, ჯგუფს გარეთ მომხმარებელი. თითოეული სხვადასხვა წერტილში უნდა ჩავარდეს, და ჟურნალმა უნდა თქვას რომელი იყო. ჯერ ნაკრები სატესტო ანგარიშზე გაუშვით, შემდეგ გაიმეორეთ რეალური მომხმარებლისთვის. მიზეზის გარეშე მოვლენათა ჟურნალში მოხვედრილი უარი ღირს გასწორებად იმაზე ბევრად ადრე, ვიდრე ეს ჩანაწერი დაგჭირდებათ.

შემდეგ დაადასტურეთ, რომელი პორტებია გამოქვეყნებული და რატომ. PPTP-ს სჭირდება TCP 1723 და GRE როგორც IP პროტოკოლი და არა პორტი, IKEv2-ს სჭირდება UDP 500 და 4500, ხოლო L2TP-ს სჭირდება UDP 1701 პლუს IPsec. მართვის ინტერფეისის გახსნა იმისთვის, რომ კლიენტი დაუკავშირდეს, შეკეთება არ არის, ეს მეორე ინციდენტია, რომელიც აღმოჩენას ელოდება.

და ბოლოს, გადაწყვიტეთ, რას და რამდენ ხანს ინახავს სერვერი. აუთენტიფიკაციის ისტორიის გარეშე ბოლო წერტილი ინციდენტის შემდეგ პირველ კითხვას ვერ უპასუხებს, კერძოდ, იყო თუ არა ეს ცდა ოდესმე ავტორიზებული.