PPTP/MS-CHAPv2 ನಿಲ್ಲಿಸುವುದು: ಹಳೆಯ VPN ಗಾಗಿ ರನ್‌ಬುಕ್

ಪ್ರತಿ ತಿಂಗಳು ಬದಲಾಯಿಸಿ ಲಾಕರ್‌ನಲ್ಲಿ ಇಡುವ ಇಪ್ಪತ್ತು ಅಕ್ಷರಗಳ ಪಾಸ್‌ವರ್ಡ್‌ಗಳು MS-CHAPv2 ಚಲಾಯಿಸುವ PPTP ಸರ್ವರ್ ಅನ್ನು ಆಧುನಿಕ VPN ಆಗಿ ಮಾಡುವುದಿಲ್ಲ. ಪಾಸ್‌ವರ್ಡ್ ಒಂದು ವಿನಿಮಯದ ಇನ್‌ಪುಟ್, ಅದರ ದೌರ್ಬಲ್ಯ ವಿನಿಮಯದಲ್ಲೇ ಇದೆ. ಈ ರನ್‌ಬುಕ್ ಆ ಸರ್ವರ್ ಬಳುವಳಿಯಾಗಿ ಪಡೆದವರಿಗೆ, ಅದನ್ನು ಅವಲಂಬಿಸಿರುವ ಸೈಟ್ ಕಡಿಯದೆ ಬಳಕೆದಾರರನ್ನು ಅಲ್ಲಿಂದ ಸ್ಥಳಾಂತರಿಸಬೇಕಾದವರಿಗೆ. ಹಂತಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ, ಏಕೆಂದರೆ ಪ್ರತಿಯೊಂದೂ ಒಂದು ದಾಖಲೆ ಬಿಡುತ್ತದೆ, ಪ್ರವೇಶ ಇದ್ದಕ್ಕಿದ್ದಂತೆ ಏಕೆ ಬದಲಾಯಿತು ಎಂದು ಯಾರಾದರೂ ಕೇಳಿದಾಗ ಅದು ಬೇಕಾಗುತ್ತದೆ.

ಏನನ್ನೂ ಮುಟ್ಟುವ ಮೊದಲು ಸ್ಟಾಕ್ ಬರೆಯಿರಿ

PPTP ಎಂಬ ಪದದಲ್ಲಿ ಮೂರು ಪದರಗಳು ಒಟ್ಟಾಗುತ್ತವೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದೂ ತನ್ನದೇ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. ಸುರಂಗ PPTP ಸ್ವತಃ, GRE ಜೊತೆ TCP 1723. ದೃಢೀಕರಣ ಸರ್ವರ್ ನೀಡುವ PPP ವಿಧಾನ, ಇಲ್ಲಿ MS-CHAPv2. ಲಿಂಕ್ ರಕ್ಷಣೆ MPPE, ಅದರ ಕೀಲಿಗಳು ಆ ದೃಢೀಕರಣ ವಿನಿಮಯದಿಂದ ಬರುತ್ತವೆ. ಮೂರನ್ನೂ ಹೆಸರಿಸುವುದು ನಂತರದ ತಿದ್ದುಪಡಿ ತಪ್ಪು ಪದರದ ಮೇಲೆ ಬೀಳದಂತೆ ತಡೆಯುತ್ತದೆ.

ವಿಕಿ ಪುಟವನ್ನು ನಂಬುವ ಬದಲು ಜೀವಂತ ಸಂರಚನೆಯನ್ನು ಓದಿ, ಮತ್ತು ಫೈಲ್, ಶ್ರೋತೃ ಮತ್ತು ದೃಢೀಕರಿಸಿದ ಕೊನೆಯ ಸೆಷನ್‌ಗಳನ್ನು ದಾಖಲಿಸಿ.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows ನ ದೂರಸ್ಥ ಪ್ರವೇಶ ಪಾತ್ರದಲ್ಲಿ ಅದೇ ದಾಸ್ತಾನು ಎರಡು ಆದೇಶಗಳಿಂದ ಬರುತ್ತದೆ, ಮತ್ತು ಎರಡನೆಯದು ಮುಖ್ಯ ಏಕೆಂದರೆ ಪಾತ್ರವು ಒಂದೇ ಸಮಯದಲ್ಲಿ ಹಲವು ವಿಧಾನಗಳನ್ನು ಜಾಹೀರಾತು ಮಾಡಬಹುದು, ಆದರೆ ಕ್ಷೇತ್ರದ ಕ್ಲೈಂಟ್‌ಗಳು ಯಾವಾಗಲೂ ದುರ್ಬಲವಾದುದರ ಬಗ್ಗೆ ಮಾತ್ರ ಒಪ್ಪಂದ ಮಾಡಿಕೊಳ್ಳುತ್ತವೆ.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

ಇಂದು ಸುರಂಗ ನಿಜವಾಗಿ ಏನನ್ನು ಸಾಗಿಸುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸಿ

ಬದಲಿಯನ್ನು ಆರಿಸುವ ಮೊದಲು ಬಳಕೆದಾರರನ್ನು ಪಟ್ಟಿ ಮಾಡಿ: ಸುತ್ತಾಡುವ ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗಳು, ಶಾಖಾ ರೌಟರ್, ಪಾವತಿ ಟರ್ಮಿನಲ್, ಕ್ಷೇತ್ರದ ಟ್ಯಾಬ್ಲೆಟ್‌ಗಳ ಗುಂಪು. ಒಂದೇ ಆಂತರಿಕ ಹೋಸ್ಟ್ ತಲುಪಬೇಕಾದ ಬಳಕೆದಾರರನ್ನು ಸರಿಸುವುದು ಸುಲಭ. ಮರುಫ್ಲಾಶ್ ಮಾಡಲಾಗದ ಹಾರ್ಡ್‌ವೇರ್‌ನಲ್ಲಿ ಹುದುಗಿರುವ ಬಳಕೆದಾರರಿಗೆ ಕ್ಲೈಂಟ್ ನವೀಕರಣದ ಬದಲು ಮಧ್ಯವರ್ತಿ ಗೇಟ್‌ವೇ ಬೇಕಾಗಬಹುದು, ಮತ್ತು ಆ ನಿರ್ಧಾರ ಪರಿವರ್ತನೆಯ ಮಧ್ಯದಲ್ಲಲ್ಲ, ಯೋಜನೆಯಲ್ಲಿರಬೇಕು.

ನಂತರ ಲಾಗಿನ್ ವಿನಿಮಯವನ್ನು ಗಮನಿಸಬಹುದಾದ ಅಥವಾ ಅದರ ಮೇಲೆ ಪ್ರಭಾವ ಬೀರಬಹುದಾದ ದಾಳಿಕೋರನಿಗೆ ಏನು ಸಿಗುತ್ತದೆ ಎಂದು ಕೇಳಿ. MS-CHAPv2 ಜೊತೆ ಉತ್ತರದಲ್ಲಿ ಬಳಕೆದಾರರ ಪಾಸ್‌ವರ್ಡ್ ಅನ್ನು ಆಫ್‌ಲೈನ್‌ನಲ್ಲಿ ಮರುಪಡೆಯಲು ಅನುವು ಮಾಡುವ ಸಾಮಗ್ರಿ ಸೇರಿದೆ, ಮತ್ತು ಅದಕ್ಕಾಗಿಯೇ ಉದ್ದ ಮತ್ತು ತಿರುಗುವಿಕೆ ವಿನ್ಯಾಸವನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ: ಮರುಪಡೆದ ರಹಸ್ಯ ಬಳಕೆದಾರರು ಅದನ್ನು ಮತ್ತೆ ಬಳಸಿದ ಪ್ರತಿಯೊಂದು ವ್ಯವಸ್ಥೆಯಲ್ಲೂ ಮಾನ್ಯವಾಗಿದೆ.

MPPE ಅದೇ ದೌರ್ಬಲ್ಯವನ್ನು ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತದೆ, ಏಕೆಂದರೆ ಅದರ ಕೀಲಿಗಳು ಆ ವಿನಿಮಯದಿಂದ ಬರುತ್ತವೆ, ಮತ್ತು ಅದು ಆಧುನಿಕ AEAD ಸೈಫರ್‌ನ ಪ್ಯಾಕೆಟ್ ಮಟ್ಟದ ಸಮಗ್ರತೆ ಮತ್ತು ಮರುಸಂಪಾದನೆ ವರ್ತನೆಯನ್ನು ನೀಡುವುದಿಲ್ಲ. ಸ್ವಚ್ಛವಾಗಿ ದೃಢೀಕರಿಸಿದ ಸೆಷನ್ ಸಂರಚಿತ ಪರಿಶೀಲನೆಗಳೊಂದಿಗೆ ಹೊಂದಾಣಿಕೆಯನ್ನು ಮಾತ್ರ ಸಾಬೀತು ಮಾಡಿದೆ, ಹೆಚ್ಚೇನೂ ಅಲ್ಲ.

ಸಣ್ಣ ಮಧ್ಯಾಹ್ನದ ವಿರಾಮವಾಗಲಿ ಕಡಿಮೆ ಬಳಕೆದಾರರ ಸಂಖ್ಯೆಯಾಗಲಿ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಗುಣವನ್ನು ನೀತಿ ಗುಣವಾಗಿ ಪರಿವರ್ತಿಸುವುದಿಲ್ಲ.

ಸ್ಥಳಾಂತರವನ್ನು ಒಂದೇ ನಿರ್ವಹಣಾ ಕಿಟಕಿಯಲ್ಲಿ ಮಾಡಿ

ಬದಲಿಯನ್ನು ನಿಲ್ಲಿಸಿ, ಒಂದು ಪ್ರಾಯೋಗಿಕ ಗುಂಪಿನೊಂದಿಗೆ ಸಾಬೀತು ಮಾಡಿ, ನಂತರ ಹಳೆಯ ಶ್ರೋತೃವನ್ನು ಮೌನ ಬ್ಯಾಕಪ್ ಆಗಿ ಬಿಡುವ ಬದಲು ನಿಲ್ಲಿಸಿ. ಎಲ್ಲರೂ ಇನ್ನೂ ತಲುಪಬಹುದಾದ ಬ್ಯಾಕಪ್ ಸ್ಥಳಾಂತರವಲ್ಲ, ಮತ್ತು ಅದು ದುರ್ಬಲ ವಿನಿಮಯವನ್ನು ಬದಲಾಯಿಸಲು ಎಂದೂ ಶ್ರಮಿಸದ ಬಳಕೆದಾರರಿಗೇ ತೆರೆದಿಡುತ್ತದೆ.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

ಅದೇ ಕಿಟಕಿಯಲ್ಲಿ ಫೈರ್‌ವಾಲ್ ಮಾರ್ಗವನ್ನು ಮುಚ್ಚಿ. GRE ಗೆ ನೆನಪಿಡಬೇಕಾದ ಪೋರ್ಟ್ ಇಲ್ಲ, ಆದ್ದರಿಂದ ಸಂಖ್ಯೆಯಿಂದ ಪ್ರೋಟೋಕಾಲ್ 47 ಅನ್ನು ಅನುಮತಿಸುವ ನಿಯಮವು ಸುಲಭವಾಗಿ ಕಣ್ಣಿಗೆ ಬೀಳದೆ, ಡೀಮನ್ ಹೋದ ನಂತರವೂ ಸೇವೆಯನ್ನು ತಲುಪಬಹುದಾಗಿ ಬಿಡುತ್ತದೆ. ನೀವು ತೆಗೆದ ನಿಯಮ, ಅದರ ಹಿಂದಿನ ಸ್ಥಾನ ಮತ್ತು ಕಾರಣವನ್ನು ದಾಖಲಿಸಿ, ನಂತರದ ಬದಲಾವಣೆ ಪರಿಶೀಲನೆ ಅದನ್ನು ಆಕಸ್ಮಿಕವಾಗಿ ಮರುಸ್ಥಾಪಿಸದಂತೆ.

ರುಜುವಾತುಗಳನ್ನು ಸಂರಚನೆಯಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ನಿರ್ವಹಿಸಿ. ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ ತೆಗೆಯುವುದು ರದ್ದತಿ ಅಲ್ಲ, ಮತ್ತು ಬೇರೆಡೆ ಇನ್ನೂ ದೃಢೀಕರಿಸುವ ಖಾತೆ ನಿವೃತ್ತವಾಗಿಲ್ಲ.

ಬದಲಿ PPTP ಮಾಡಿದ ಕೆಲಸಗಳನ್ನು ಮಾಡುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಪರಿಶೀಲನಾ ಪಟ್ಟಿ “ಸಂಪರ್ಕವಾಗುತ್ತದೆಯೇ” ಅಲ್ಲ. ದೃಢೀಕರಣ, ವಿಳಾಸ ಹಂಚಿಕೆ, DNS ಪರಿಹಾರ, ಮಾರ್ಗ ಆಯ್ಕೆ, ಮರುಸಂಪರ್ಕ ವರ್ತನೆ ಮತ್ತು ಸಹವರ್ತಿ ಪರಿಶೀಲನೆ ಎಲ್ಲವೂ ಬದಲಿಯ ಅಡಿಯಲ್ಲಿ ನಿಲ್ಲುತ್ತವೆಯೇ ಎಂಬುದು. ಪ್ರತಿಯೊಂದನ್ನು ಪ್ರಾಯೋಗಿಕ ಸಾಧನದಲ್ಲಿ, ಅದೇ ಕ್ರಮದಲ್ಲಿ ಪರೀಕ್ಷಿಸಿ, ಗಮನಿಸಿದ ಫಲಿತಾಂಶವನ್ನು ನಿರೀಕ್ಷೆಯ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಿರಿ.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿನ ವಿಳಾಸ ಸಂಧಾನ ಪೂರ್ಣಗೊಂಡಿದೆ ಎಂದು ಸಾಬೀತು ಮಾಡುತ್ತದೆ. ದೂರದ ಬದಿ ನೀವು ನಿರೀಕ್ಷಿಸಿದ ಮಾರ್ಗವನ್ನು ಅಧಿಕೃತಗೊಳಿಸಿದೆ ಎಂದು ಅದು ಸಾಬೀತು ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಮೇಲಿನ ಪ್ರಶ್ನೆ ಈ ಹೋಸ್ಟ್‌ಗೆ ಮಾತ್ರ ಉತ್ತರಿಸುತ್ತದೆ, ಮುಂದಕ್ಕೆ ರವಾನಿಸಿದ LAN ಗೆ ಅಲ್ಲ. ಪರಿಹಾರಕದ ಉತ್ತರ ಪರಿಹಾರಕದ ತಲುಪುವಿಕೆಯನ್ನು ಸಾಬೀತು ಮಾಡುತ್ತದೆ, ವಿಭಜಿತ DNS ನೀತಿ ಸರಿಯಾದ ಹೆಸರುಗಳನ್ನು ಅಲ್ಲಿಗೆ ಕಳುಹಿಸುತ್ತದೆ ಎಂದಲ್ಲ.

ಮರುಸಂಪರ್ಕವನ್ನು ಕೊನೆಯಲ್ಲಿ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಹೆಚ್ಚಿನ ಬದಲಿಗಳು ಅಲ್ಲಿಯೇ ಹಿಂದೆ ಸರಿಯುತ್ತವೆ: ಲ್ಯಾಪ್‌ಟಾಪ್ ಅನ್ನು ನಿದ್ರೆಗೆ ಹಾಕಿ, ನೆಟ್‌ವರ್ಕ್‌ಗಳನ್ನು ಬದಲಾಯಿಸಿ, ಮತ್ತು ಹಳೆಯ ಮಾರ್ಗಗಳನ್ನು ಬಿಡದೆ ಸುರಂಗ ಮತ್ತೆ ಸ್ಥಾಪನೆಯಾಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ರೋಲ್‌ಬ್ಯಾಕ್, ರದ್ದತಿ ಮತ್ತು ನೀವು ಬಿಡುವ ದಾಖಲೆ

ರೋಲ್‌ಬ್ಯಾಕ್ ಸೇವೆಯನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ; ಅದು ಭದ್ರತೆಯನ್ನು ಮರುಸ್ಥಾಪಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಈ ವ್ಯತ್ಯಾಸವನ್ನು ಕಿಟಕಿ ತೆರೆಯುವ ಮೊದಲು ಗಟ್ಟಿಯಾಗಿ ಹೇಳಬೇಕು. ಹೊಸ ಮಾರ್ಗ ವಿಫಲವಾದರೆ, ಎಲ್ಲರಿಗೂ PPTP ಮತ್ತೆ ಆನ್ ಮಾಡುವ ಬದಲು ಎರಡನೇ ಆಧುನಿಕ ಅಂತ್ಯಬಿಂದು ಅಥವಾ ತಾತ್ಕಾಲಿಕ ಗೇಟ್‌ವೇ ಮೂಲಕ ಬಳಕೆದಾರರನ್ನು ಮರಳಿ ಕರೆತನ್ನಿ. ಹಳೆಯ ಪ್ರೋಟೋಕಾಲ್‌ನಲ್ಲಿ ಒಂದು ತುರ್ತು ಮಾರ್ಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳುವುದು ನೀವು ಈಗಷ್ಟೇ ದಾಖಲಿಸಿದ ಒಡ್ಡಿಕೆಯನ್ನು ವಿಸ್ತರಿಸುತ್ತದೆ.

ಪರಿವರ್ತನೆಯ ನಂತರ PPTP ಮೂಲಕ ದೃಢೀಕರಿಸಿದ ಖಾತೆಗಳನ್ನು ರದ್ದುಗೊಳಿಸಿ, ಅವುಗಳ ಸಂಗ್ರಹಿತ ಪ್ರೊಫೈಲ್‌ಗಳು ಅವಧಿ ಮುಗಿಯಲು ಬಿಡಿ, ಮತ್ತು GRE ನಿಯಮ ಪ್ರತಿಯೊಂದು ಅಂಚಿನ ಸಾಧನದಿಂದ ಹೋಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಯಾರೂ ನೆನಪಿಟ್ಟುಕೊಳ್ಳದ ವಿಪತ್ತು ಮರುಪ್ರಾಪ್ತಿ ಪ್ರತಿಯೂ ಸೇರಿದಂತೆ.

ಸಂಕ್ಷಿಪ್ತ ದಾಖಲೆ ಬಿಡಿ: ನೀವು ಕಂಡುಕೊಂಡ ಪ್ರೋಟೋಕಾಲ್‌ಗಳು, ಪ್ರತಿ ಶ್ರೋತೃ ನಿಂತ ದಿನಾಂಕ, ಬದಲಿ ಬೆಂಬಲಿಸುವ ಕ್ಲೈಂಟ್ ಆವೃತ್ತಿಗಳು, ಮತ್ತು ನಿರ್ಧಾರವನ್ನು ಮತ್ತೆ ತೆರೆಯಬಹುದಾದ ಮಾಲೀಕರು. ಪಾಸ್‌ವರ್ಡ್ ನೈರ್ಮಲ್ಯ ನಂತರವೂ ಮುಖ್ಯ, ಆದರೆ ಅದಕ್ಕೆ ಅರ್ಹವಾದ ಪ್ರೋಟೋಕಾಲ್‌ನಲ್ಲಿ ನೈರ್ಮಲ್ಯವಾಗಿ, ಹಳೆಯದನ್ನು ಜೀವಂತವಾಗಿರಿಸುವ ವಾದವಾಗಿ ಅಲ್ಲ.