Windows VPN күшейту: туннельге дейін аутентификацияны түзетіңіз

Сіздің Windows VPN сервері пайдаланушы аты мен құпиясөзді сұрайды, және сол бір диалог үш байланыссыз міндетті жасырады. Біреуі адамның кім екенін дәлелдейді, біреуі желіні бақылап отырған адамның бұл дәлелді қайта пайдалануына жол бермейді, ал біреуі одан кейін қандай мекенжайларға қол жеткізуге болатынын шешеді. Көптеген шағын орналастырулар алдымен туннельді күшейтіп, алғашқы екі міндетті әдепкі мәндерде қалдырады, бұл дұрыс емес рет.

Шабуылдаушы жұмыс істейтін ретпен жұмыс істеңіз. Алдымен желіден ұстап алуға болатын нәрсе. Содан кейін сол жазбамен кейінірек қайталауға болатын нәрсе. Соңында, аутентификацияланған шабуылдаушы ішке кірген соң жете алатын нәрсе.

Үш міндет, бір диалог

Сәйкестік — адамдар ойлайтын бөлік, және ол мәселенің тек үштен бірі. Сәйкестік дәлелі айырбасты жазып алып, кейінірек қайта әрекет ететін бақылаушыға төтеп беруі керек. Ал авторизация — сәйкестік анықталғаннан кейін сервер қабылдайтын жеке шешім, және Windows оны тіркелгі деректерін тексеретін қызметтен басқа қызметте ұстайды.

Үшеуі бір ой шелегінде тұрғанда, әдеттегі нәтиже — күшті аутентификация жасайтын, содан кейін пайдаланушыға бәріне жетуге рұқсат беретін сервер. Мұны кейінірек түзету қазір саясатты шешуден қиынырақ, өйткені сол кезде брандмауэр профилі, мекенжай пулы және маршруттар ескі болжамды кодтайды.

Кез келген параметрге қол тигізбес бұрын үшеуін жазбаларыңызда бөліп алыңыз, содан кейін оларды ең әлсіз буыннан жоғары қарай түзетіңіз.

Неліктен MS-CHAPv2 қайталау тестіне төтеп бере алмайды

Егер сервер әлі де MS-CHAPv2-мен PPTP қабылдайтын болса, туннель құпиясөзді ешбір мағыналы түрде қорғамайды. Сынақ пен жауапты ұстап алып, желіден тыс шабуылдауға болады, ал 2012 жылы ашық бұзу қызметі осындай қол алысуды қарапайым құпиясөз үшін шамамен бір күнде қалпына келтіруді көрсетті. Ұзынырақ және күрделірек құпиясөз құнын арттырады; ол шабуылдаушыға желіден қажет материалды жоймайды.

Сізге керек қасиет — қайталауға болмайтын тіркелгі деректері. Клиент сертификаттарымен EAP-TLS әр құрылғыға өз сәйкестігін береді және дәл бір құрылғыны кері қайтаруға мүмкіндік береді.

Сертификаттарды орналастыру — нақты жұмыс: жеке CA, клиенттер тексеретін кері қайтару жолы және қызметкерлер ауысқанда да жарамды жаңарту жоспары. Бұл жұмысты жоба ретінде қарастырыңыз, өзіңіз бен жұмыс істеп тұрған туннель арасындағы кедергі ретінде емес. Оған брандмауэрді ауыстыруға беретіндей бюджет бөліңіз. Ортақ құпиясөз тек бірінші кері қайтаруға дейін ғана арзан.

Алдын ала бөлінген кілт жұпты аутентификациялайды, адамды емес

L2TP/IPsec алдын ала бөлінген кілтпен екі шлюздің бір құпияны білетінін дәлелдейді. Ол қай адамның қосылып жатқаны туралы ештеңе айтпайды және сол қабатта бір қызметкерді екіншісінен ажырата алмайды. Ұзын кездейсоқ мәнді пайдаланыңыз, кейбір нұсқаулықтар ұсынатын он таңбадан әлдеқайда асып, өйткені қол алысуды ұстап алған кез келген адам кілтке желіден тыс шабуылдай алады.

Сол профильдегі әр клиент құпияны бөліседі, сондықтан бір адамды алып тастау оны қалғандардың бәріне қайта бөлуді білдіреді. Машина деңгейіндегі құпияның үстінде бөлек пайдаланушы аутентификациясы қадамын ұстаңыз және клиент саны өскен сайын сертификаттарға көшіңіз. Алдын ала бөлінген кілт MS-CHAPv2-мен бірге екі әлсіз қабат, ал екіншісі біріншісін жояды.

Авторизация Network Policy Server ішінде

Windows-тағы NPS кімнің қосыла алатынын шешеді, және мұны аутентификация сәтті өткеннен кейін жасайды. Сол бөлу — өнімдегі ең пайдалы күшейту бақылауы, және көптеген орналастырулар оны қозғамай қалдырады.

Нақты шектеулерді бейнелейтін саясат шарттарын пайдаланыңыз: топ мүшелігі, қолдау қызметкерлермен қамтылған уақыт терезесі және денсаулық тексеруінен құрылғы күйі. Деректер үйкелісті ақтайтын жерде екінші фактор қосыңыз, және саясат әр қосылу әрекеті үшін бағаланатынын есте сақтаңыз, бұл оны құжат емес, тірі бақылауға айналдырады.

RADIUS есебі сізге кім және қашан қосылғаны туралы бір жазба береді. Бұл журнал оқиғаны қарап шығу мен болжам арасындағы айырмашылық, және ол біреу оқи ма, жоқ па, соған қарамастан бар.

Сәтті кірудің қайда жете алатынын шектеңіз

VPN адаптері тұтас қосымша желіге емес, өз рөліне қажет қызметтерге рұқсат беретін брандмауэр профиліне түсуі керек. Маршруттау мәселесі сүзуден бөлек. Толық туннель клиент құрылғысын қорғайды және әр байтты сіздің жоғарғы арнаңыз арқылы өткізеді, ал бөлінген туннель жергілікті трафикті жергілікті күйінде ұстап, құрылғыны ол кездесіп отырған кез келген желіге ашады.

Екі таңдаудың ешқайсысы қауіпсіздік әдепкісі емес. Екеуін де олар болжайтын брандмауэр профилінің қасына жазу керек.

Сәтсіздік жолдарын тексеріңіз

Не бұзылуы керектігін сынаңыз: қате құпиясөз, мерзімі өткен сертификат, кері қайтарылған құрылғы, топтан тыс пайдаланушы. Әрқайсысы басқа нүктеде сәтсіз болуы керек, ал журнал қайсысы болғанын айтуы керек. Жинақты алдымен сынақ тіркелгісінде іске қосыңыз, содан кейін нақты пайдаланушы үшін қайталаңыз. Себепсіз оқиғалар журналына түсетін бас тартуды сол жазба қажет болғанға дейін әлдеқайда ерте түзетуге тұрарлық.

Содан кейін қандай порттар жарияланғанын және неге екенін растаңыз. PPTP-ге TCP 1723 және порт ретінде емес, IP протоколы ретінде GRE қажет, IKEv2-ге UDP 500 және 4500 қажет, ал L2TP-ге UDP 1701 және IPsec қажет. Клиент қосылуы үшін басқару интерфейсін ашу — жөндеу емес, ашылуын күтіп тұрған екінші оқиға.

Соңында сервердің нені және қанша уақыт жазатынын шешіңіз. Аутентификация тарихы жоқ соңғы нүкте оқиғадан кейінгі бірінші сұраққа жауап бере алмайды, яғни әрекеттің ешқашан рұқсат етілген-етілмегенін.