RouterOS OpenVPN және NPS: auth емес, user-auth-method орнатыңыз

RouterOS-та auth туннель дайджестін таңдайды, ал user-auth-method RADIUS сұрауының қалай тексерілетінін анықтайды. Екіншісін NPS саясатына сәйкестендіріңіз.

RouterOS OpenVPN кірісімен NPS-ке жетіп, бәрібір қабылданбауы мүмкін, және әдеттегі себеп — атаулары екеуі де аутентификацияға ұқсайтын екі параметр. Біреуі туннель үшін криптографиялық дайджест таңдайды; екіншісі пайдаланушының тіркелгі деректері RADIUS-қа қалай ұсынылатынын анықтайды. Дайджестті өзгерту PAP сұрауын ешқашан MS-CHAPv2-ге айналдырмайды, қызмет қанша рет қайта іске қосылса да. Төмендегі тізім осы екеуін ажыратады, содан кейін бір сәтсіз кіруді оны бағалаған NPS саясаты арқылы қадағалайды.

1-қадам: кез келгенін өзгертуден бұрын екі параметрді де оқыңыз

Туннельді аяқтайтын маршрутизатордағы әрекетті OpenVPN сервер конфигурациясын басып шығарыңыз, резервтік көшірмеден немесе көшірілген форум жазбасынан емес. Сізді қызықтыратын екі өріс әдетте бір мәзірде болады және баламалар сияқты оқылады. Олар балама емес: біреуі деректер арнасына, екіншісі тіркелгі деректерінің алмасуына қатысты.

/interface ovpn-server server print
/interface ovpn-server server export

auth өрісі sha1 және sha256 сияқты дайджесттерді тізімдейді және туннель пакеттерін аутентификациялайтын HMAC-ты басқарады. user-auth-method өрісі pap немесе mschap2 таңдайды және маршрутизатордың пайдаланушы тіркелгі деректерін RADIUS-қа қалай ұсынатынын анықтайды. Дайджестті өзгерту екінші мінез-құлықты өзгерте алмайды, сондықтан сол қабылдамау біріншіге жасалған әрбір түзетуден кейін де сақталады.

Егер сіздің шығарылымыңыз user-auth-method мүлдем ұсынбаса, осында тоқтаңыз. Ескі RouterOS құрылымдары оны OpenVPN серверінде ұсынбауы мүмкін, ал түзету жаңарақтан көшірілген пәрменде емес, сіз қолдай алатын шығарылымда болуы керек.

2-қадам: кіруді шынымен қабылдамаған саясатты табыңыз

NPS жағында қосылу сұрауы желілік саясаттарға сәйкес бағаланады, және сәйкес саясатта аталған аутентификация әдісі клиент шынымен ұсынған әдістердің бірі болуы керек. Жиынтық санды оқымай, бір сәтсіз кіруді уақыт пен пайдаланушы бойынша байланыстырыңыз. Қауіпсіздік журналы рұқсат етілген және қабылданбаған сұрауларды себеп кодымен жазады, бұл маршрутизатордың жалпы қате жолынан әлдеқайда көп нәрсе айтады.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Оқиғада үш нәрсені оқыңыз: сәйкес саясаттың атауы, аутентификация әдісі және себеп коды. MS-CHAPv2 талап ететін саясат құпия сөз дұрыс болса да PAP сұрауын қабылдамайды, ал домен тіркелгісін талап ететін саясат жергілікті тіркелгіні қабылдамайды. RADIUS клиент жазбасы да маршрутизатордың бастапқы мекенжайына сәйкес келуі керек, әйтпесе сұрау кез келген саясат қарастырылмай тұрып тасталады. Осылардың ешқайсысы OpenVPN журналында көрінбейді.

Егер сұрау NPS-ке ешқашан жетпесе, осында тоқтаңыз. Бұл ортақ құпия, клиент мекенжайы немесе UDP 1812 мәселесі, және аутентификация әдістерін өзгерту оны түзетпейді.

3-қадам: екі жақта бір әдісті өзгертіңіз

Егер бекітілген дизайн MS-CHAPv2 болса, оны маршрутизаторда орнатып, сәйкес саясаттың оны қабылдайтынын растаңыз. Бір жағын өзгертіңіз, қайта тексеріңіз, содан кейін екіншісін өзгертіңіз; екеуін бірдей өзгерту қайсысы маңызды болғанын айта алмауға әкеледі.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Қатені жою үшін NPS-те барлық әлсіз әдістерді қоспаңыз. Бэкендте таңдалған әдіс тексере алатын материал болуы керек: MS-CHAPv2 құпия сөзге немесе доменге қатынауды қажет етеді, ал саясат бұл материалды ойлап таба алмайды. Саясатты кеңейту бір тіркелгіге қарсы шабуылдаушының не істей алатынын да кеңейтеді. Әдісті, саясат атауын және өзгеріс сілтемесін бірге жазыңыз, келесі адам болжам емес, шешімді мұралансын.

Туннель сертификатының тексеруін дәл бұрынғыдай қалдырыңыз. Тіркелгі деректері әдісі сервер сәйкестігін алмастырмайды, ал сынақтан өту үшін TLS тексерулерін төмендету бір мәселені нашаррақ мәселемен алмастырады.

4-қадам: үш кіруді және бір рұқсатты тексеріңіз

Рұқсат етілген пайдаланушыны, қате құпия сөзді және алынып тасталған пайдаланушыны әрқайсысын жаңа сессияда тексеріңіз. Біріншісі жолды дәлелдейді, екіншісі тіркелгі деректерін тексерудің нақты екенін дәлелдейді, үшіншісі саясаттың әлі де тиісті адамдарды алып тастайтынын дәлелдейді. Кэштелген сессия үшеуін де жасыра алады, сондықтан әрекеттер арасында ажыратыңыз.

/log print where topics~"ovpn"
/radius monitor 0

Аутентификацияның сәттілігі тізімнің соңы емес. Клиент алған мекенжайды және сол мекенжай жете алатын ресурстарды тексеріңіз, өйткені пайдаланушы дұрыс аутентификацияланып, бәрібір дұрыс емес пулға түсуі мүмкін. Егер тағайындалған мекенжай қате болса, мәселе әдісте емес, профильде немесе RADIUS жауабының атрибуттарында. Билетті жаппас бұрын екеуін де растаңыз.

Тізім маршрутизатор параметрі мен NPS саясаты бір әдісті атағанда, рұқсат етілген пайдаланушы жаңа сессиямен қосылғанда, қате құпия сөз қабылданбағанда, алынып тасталған пайдаланушы алынып тасталған күйде қалғанда және тағайындалған мекенжай көзделген пулға сәйкес келгенде аяқталады. Одан кемі келесі кіруді кездейсоқтыққа қалдырады.

Қатысты мақалалар