PPTP/MS-CHAPv2-ден бас тарту: ескірген VPN үшін нұсқаулық

Ұзынырақ құпия сөз MS-CHAPv2-мен PPTP-ні жақсартпайды. Түгендеу, көшіру, тексеру және тіркелгі деректерін тазалау қадамдарын ретімен орындаңыз.

Ай сайын ауыстырылып, сейфте сақталатын жиырма таңбалы құпия сөздер MS-CHAPv2-мен жұмыс істейтін PPTP серверін заманауи VPN-ге айналдырмайды. Құпия сөз — әлсіздігі алмасу ішінде жатқан алмасудың кірісі. Бұл нұсқаулық сол серверді мұра етіп алған және оған тәуелді алаңды кеспестен пайдаланушыларды көшіруі керек адамға арналған. Қадамдарды ретімен орындаңыз, өйткені әрқайсысы біреу «кіру неге кенеттен өзгерді» деп сұрағанда қажет болатын жазба қалдырады.

Бірдеңеге қол тигізбей тұрып, қатпарды жазып алыңыз

PPTP деген сөзге үш қабат жинақталады және әрқайсысы өзінше істен шығады. Туннель — PPTP-нің өзі, GRE қосулы TCP 1723. Аутентификация — сервер ұсынатын PPP әдісі, мұнда MS-CHAPv2. Байланысты қорғау — MPPE, оның кілттері сол аутентификация алмасуынан туындайды. Үшеуін атау кейінгі түзетудің дұрыс емес қабатқа түсуіне жол бермейді.

Вики бетіне сенуге ынталанбай, тірі конфигурацияны оқып, файлды, тыңдаушыны және аутентификациядан өткен соңғы сессияларды жазып алыңыз.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows-тың қашықтан кіру рөлінде сол түгендеу екі командадан келеді, ал екіншісі маңызды, өйткені рөл бір уақытта бірнеше әдісті жарнамалай алады, ал даладағы клиенттер әрқашан тек ең әлсізі туралы келіседі.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Туннель бүгін шын мәнінде не тасымалдайтынын анықтаңыз

Ауыстырғышты таңдамай тұрып тұтынушыларды тізіңіз: көшіп жүретін ноутбуктер, филиал маршрутизаторы, төлем терминалы, дала планшеттерінің жиынтығы. Тек бір ішкі хостқа жетуі керек тұтынушыны жылжыту оңай. Қайта жазып болмайтын аппараттық құрылғыға енгізілген тұтынушыға клиентті жаңартудың орнына аралық шлюз қажет болуы мүмкін, және бұл шешім өткелдің ортасында емес, жоспарда болуы керек.

Содан кейін кіру алмасуын бақылай немесе оған әсер ете алатын шабуылдаушы не алатынын сұраңыз. MS-CHAPv2 кезінде жауап пайдаланушының құпия сөзін желісіз қалпына келтіруге мүмкіндік беретін материалды қамтиды, сондықтан ұзындық пен айналым жобаны түзетпейді: қалпына келтірілген құпия пайдаланушы оны қайта пайдаланған әрбір жүйеде жарамды.

MPPE сол әлсіздікті мұраға алады, себебі оның кілттері сол алмасудан келеді, және ол сізге заманауи AEAD шифрының пакет сайынғы тұтастығы мен қайталау тәртібін бермейді. Таза аутентификациядан өткен сессия конфигурацияланған тексерулермен үйлесімділікті ғана дәлелдеді, одан артық емес.

Не қысқа түскі үзіліс, не пайдаланушылардың аздығы криптографиялық қасиетті саяси қасиетке айналдырмайды.

Көшіруді бір қызмет көрсету терезесінде жүргізіңіз

Ауыстырғышты орнатыңыз, оны бір пилоттық топпен дәлелдеңіз, содан кейін ескі тыңдаушыны тыныш қосалқы нұсқа ретінде қалдырмай, тоқтатыңыз. Барлығы әлі жете алатын қосалқы нұсқа көшіру емес, және әлсіз алмасуды ауысуға ешқашан әуре болмайтын пайдаланушыларға ашық ұстайды.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Сол терезеде брандмауэр жолын жабыңыз. GRE-дің есте сақтайтын порты жоқ, сондықтан 47 хаттамасына нөмірі бойынша рұқсат беретін ереже назардан тыс қалуы оңай және демон кеткеннен кейін де қызметті қолжетімді етіп қалдырады. Жойған ережені, оның бұрынғы орнын және себебін жазып алыңыз, сонда кейінгі өзгерістер шолуы оны абайсызда қайтарып қоймайды.

Тіркелгі деректерін конфигурациядан бөлек өңдеңіз. Клиент профилін жою — кері шақыру емес, ал басқа жерде әлі аутентификациядан өтетін тіркелгі қызметтен шығарылған жоқ.

Ауыстырғыш PPTP орындаған жұмыстарды орындайтынын тексеріңіз

Тексеру тізімі «қосыла ма» емес. Ол аутентификация, мекенжай бөлу, DNS шешу, маршрут таңдау, қайта қосылу тәртібі және серіктесті тексеру ауыстырғыш астында әлі де сақтала ма деген сұрақ. Әрқайсысын пилоттық құрылғыда, сол ретпен сынап, байқалған нәтижені күтудің қасына жазыңыз.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Интерфейстегі мекенжай келіссөздің аяқталғанын дәлелдейді. Ол қашықтағы жақ күткен маршрутқа рұқсат бергенін дәлелдемейді, ал жоғарыдағы сұрау тек осы хост үшін жауап береді, берілген LAN үшін емес. Шешушінің жауабы шешушінің қолжетімділігін дәлелдейді, бөлінген DNS саясаты дұрыс атауларды сол жерге жіберетінін емес.

Қайта қосылуды соңында тексеріңіз, өйткені көптеген ауыстырғыштар дәл сол жерде шегінеді: ноутбукті ұйқыға салыңыз, желілерді ауыстырыңыз және туннельдің ескірген маршруттар қалдырмай қайта орнайтынына көз жеткізіңіз.

Қайтару, кері шақыру және қалдыратын жазбаңыз

Қайтару қызметті қалпына келтіреді; ол қауіпсіздікті қалпына келтірмейді, және бұл айырмашылық терезе ашылмай тұрып дауыстап айтылуы керек. Егер жаңа жол істен шықса, пайдаланушыларды екінші заманауи соңғы нүкте немесе уақытша шлюз арқылы қайтарыңыз, бәріне PPTP-ні қайта қосу арқылы емес. Ескі хаттамада бір апаттық жолды ұстау жаңа ғана құжаттаған әсер ету аясын кеңейтеді.

Өткелден кейін PPTP арқылы аутентификациядан өткен тіркелгілерді кері шақырыңыз, олардың сақталған профильдерінің мерзімі бітуіне жол беріңіз және GRE ережесінің әрбір шеткі құрылғыдан кеткенін растаңыз, соның ішінде ешкім есінде сақтамайтын апаттан қалпына келтіру көшірмесінен де.

Қысқа жазба қалдырыңыз: тапқан хаттамаларыңыз, әр тыңдаушының тоқтаған күні, ауыстырғыш қолдайтын клиент нұсқалары және шешімді қайта аша алатын иесі. Құпия сөз гигиенасы кейін де маңызды, бірақ оған лайық хаттамадағы гигиена ретінде, ескіні тірі ұстау дәлелі ретінде емес.

Қатысты мақалалар