RouterOS OpenVPN ಮತ್ತು NPS: auth ಅಲ್ಲ, user-auth-method ಸೆಟ್ ಮಾಡಿ

RouterOS OpenVPN ಲಾಗಿನ್ನೊಂದಿಗೆ NPS ತಲುಪಿ ಸಹ ನಿರಾಕರಿಸಬಹುದು, ಮತ್ತು ಸಾಮಾನ್ಯ ಕಾರಣ ಎರಡು ಸೆಟ್ಟಿಂಗ್ಗಳು ಅವುಗಳ ಹೆಸರುಗಳು ಎರಡೂ ದೃಢೀಕರಣದಂತೆ ಕೇಳುತ್ತವೆ. ಒಂದು ಟನೆಲ್ಗೆ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಡೈಜೆಸ್ಟ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ; ಇನ್ನೊಂದು ಬಳಕೆದಾರರ ರುಜುವಾತುಗಳನ್ನು RADIUS ಗೆ ಹೇಗೆ ಪ್ರಸ್ತುತಪಡಿಸಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಡೈಜೆಸ್ಟ್ ಬದಲಾಯಿಸುವುದು PAP ವಿನಂತಿಯನ್ನು ಎಂದಿಗೂ MS-CHAPv2 ಆಗಿ ಪರಿವರ್ತಿಸುವುದಿಲ್ಲ, ಸೇವೆ ಎಷ್ಟೇ ಬಾರಿ ಮರುಪ್ರಾರಂಭವಾದರೂ. ಕೆಳಗಿನ ಪರಿಶೀಲನಾ ಪಟ್ಟಿ ಎರಡನ್ನೂ ಬೇರ್ಪಡಿಸಿ, ನಂತರ ಒಂದು ವಿಫಲ ಲಾಗಿನ್ ಅನ್ನು ಅದನ್ನು ನಿರ್ಣಯಿಸಿದ NPS ನೀತಿಯ ಮೂಲಕ ಅನುಸರಿಸುತ್ತದೆ.

ಹಂತ 1: ಯಾವುದನ್ನಾದರೂ ಬದಲಾಯಿಸುವ ಮೊದಲು ಎರಡೂ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಓದಿ

ಟನೆಲ್ ಮುಗಿಸುವ ರೌಟರ್ನಲ್ಲಿ ಪರಿಣಾಮಕಾರಿ OpenVPN ಸರ್ವರ್ ಸಂರಚನೆಯನ್ನು ಮುದ್ರಿಸಿ, ಬ್ಯಾಕಪ್ ಅಥವಾ ನಕಲಿಸಿದ ಫೋರಂ ಪೋಸ್ಟ್ನಿಂದ ಅಲ್ಲ. ನಿಮಗೆ ಮುಖ್ಯವಾದ ಎರಡು ಕ್ಷೇತ್ರಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಒಂದೇ ಮೆನುವಿನಲ್ಲಿರುತ್ತವೆ ಮತ್ತು ಪರ್ಯಾಯಗಳಂತೆ ಓದಲ್ಪಡುತ್ತವೆ. ಅವು ಹಾಗಲ್ಲ: ಒಂದು ಡೇಟಾ ಚಾನೆಲ್ ಬಗ್ಗೆ, ಇನ್ನೊಂದು ರುಜುವಾತುಗಳ ವಿನಿಮಯದ ಬಗ್ಗೆ.

/interface ovpn-server server print
/interface ovpn-server server export

auth ಕ್ಷೇತ್ರವು sha1 ಮತ್ತು sha256 ನಂತಹ ಡೈಜೆಸ್ಟ್ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ ಮತ್ತು ಟನೆಲ್ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ದೃಢೀಕರಿಸುವ HMAC ಅನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ. user-auth-method ಕ್ಷೇತ್ರವು pap ಅಥವಾ mschap2 ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ ಮತ್ತು ರೌಟರ್ ಬಳಕೆದಾರರ ರುಜುವಾತುಗಳನ್ನು RADIUS ಗೆ ಹೇಗೆ ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಡೈಜೆಸ್ಟ್ ಬದಲಾವಣೆಯು ಎರಡನೆಯ ವರ್ತನೆಯನ್ನು ಬದಲಾಯಿಸಲಾರದು, ಆದ್ದರಿಂದ ಅದೇ ನಿರಾಕರಣೆ ಮೊದಲನೆಯ ಪ್ರತಿ ತಿದ್ದುಪಡಿಯ ನಂತರವೂ ಉಳಿಯುತ್ತದೆ.

ನಿಮ್ಮ ಆವೃತ್ತಿ user-auth-method ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಒದಗಿಸದಿದ್ದರೆ ಇಲ್ಲಿಯೇ ನಿಲ್ಲಿಸಿ. ಹಳೆಯ RouterOS ಬಿಲ್ಡ್ಗಳು ಅದನ್ನು OpenVPN ಸರ್ವರ್ನಲ್ಲಿ ನೀಡದಿರಬಹುದು, ಮತ್ತು ಸರಿಪಡಿಸುವಿಕೆ ನೀವು ಬೆಂಬಲಿಸಬಹುದಾದ ಆವೃತ್ತಿಯಲ್ಲಿರಬೇಕು, ಹೊಸದರಿಂದ ನಕಲಿಸಿದ ಆಜ್ಞೆಯಲ್ಲಿ ಅಲ್ಲ.

ಹಂತ 2: ಲಾಗಿನ್ ಅನ್ನು ನಿಜವಾಗಿ ನಿರಾಕರಿಸಿದ ನೀತಿಯನ್ನು ಹುಡುಕಿ

NPS ಬದಿಯಲ್ಲಿ, ಸಂಪರ್ಕ ವಿನಂತಿಯನ್ನು ನೆಟ್ವರ್ಕ್ ನೀತಿಗಳ ವಿರುದ್ಧ ಮೌಲ್ಯಮಾಪನ ಮಾಡಲಾಗುತ್ತದೆ, ಮತ್ತು ಹೊಂದಿಕೆಯಾಗುವ ನೀತಿಯಲ್ಲಿ ಹೆಸರಿಸಿದ ದೃಢೀಕರಣ ವಿಧಾನವು ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ನೀಡಿದ ಒಂದಾಗಿರಬೇಕು. ಸಾರಾಂಶ ಎಣಿಕೆಯನ್ನು ಓದುವ ಬದಲು ಒಂದು ವಿಫಲ ಲಾಗಿನ್ ಅನ್ನು ಸಮಯ ಮತ್ತು ಬಳಕೆದಾರರಿಂದ ಪರಸ್ಪರ ಸಂಬಂಧಿಸಿ. ಭದ್ರತಾ ಲಾಗ್ ಅನುಮತಿಸಿದ ಮತ್ತು ನಿರಾಕರಿಸಿದ ವಿನಂತಿಗಳನ್ನು ಕಾರಣ ಕೋಡ್ನೊಂದಿಗೆ ದಾಖಲಿಸುತ್ತದೆ, ಅದು ರೌಟರ್ನ ಸಾಮಾನ್ಯ ವೈಫಲ್ಯ ಸಾಲಿಗಿಂತ ಹೆಚ್ಚು ಹೇಳುತ್ತದೆ.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

ಘಟನೆಯಲ್ಲಿ ಮೂರು ವಿಷಯಗಳನ್ನು ಓದಿ: ಹೊಂದಿಕೆಯಾಗುವ ನೀತಿಯ ಹೆಸರು, ದೃಢೀಕರಣ ವಿಧಾನ ಮತ್ತು ಕಾರಣ ಕೋಡ್. MS-CHAPv2 ಅಗತ್ಯವಿರುವ ನೀತಿ ಪಾಸ್ವರ್ಡ್ ಸರಿಯಾಗಿದ್ದರೂ PAP ವಿನಂತಿಯನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ, ಮತ್ತು ಡೊಮೇನ್ ಖಾತೆ ಅಗತ್ಯವಿರುವ ನೀತಿ ಸ್ಥಳೀಯ ಖಾತೆಯನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ. RADIUS ಕ್ಲೈಂಟ್ ನಮೂದು ಸಹ ರೌಟರ್ನ ಮೂಲ ವಿಳಾಸಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಯಾವುದೇ ನೀತಿಯನ್ನು ಪರಿಶೀಲಿಸುವ ಮೊದಲೇ ವಿನಂತಿ ತಿರಸ್ಕರಿಸಲ್ಪಡುತ್ತದೆ. ಇವುಗಳಲ್ಲಿ ಯಾವುದೂ OpenVPN ಲಾಗ್ನಲ್ಲಿ ಕಾಣುವುದಿಲ್ಲ.

ವಿನಂತಿ ಎಂದಿಗೂ NPS ತಲುಪದಿದ್ದರೆ ಇಲ್ಲಿಯೇ ನಿಲ್ಲಿಸಿ. ಅದು ಹಂಚಿಕೆಯ ರಹಸ್ಯ, ಕ್ಲೈಂಟ್ ವಿಳಾಸ ಅಥವಾ UDP 1812 ಸಮಸ್ಯೆ, ಮತ್ತು ದೃಢೀಕರಣ ವಿಧಾನಗಳನ್ನು ಬದಲಾಯಿಸುವುದರಿಂದ ಅದು ಸರಿಯಾಗುವುದಿಲ್ಲ.

ಹಂತ 3: ಎರಡೂ ಬದಿಗಳಲ್ಲಿ ಒಂದು ವಿಧಾನವನ್ನು ಬದಲಾಯಿಸಿ

ಅನುಮೋದಿತ ವಿನ್ಯಾಸ MS-CHAPv2 ಆಗಿದ್ದರೆ, ಅದನ್ನು ರೌಟರ್ನಲ್ಲಿ ಸೆಟ್ ಮಾಡಿ ಮತ್ತು ಹೊಂದಿಕೆಯಾಗುವ ನೀತಿ ಅದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಒಂದು ಬದಿಯನ್ನು ಬದಲಾಯಿಸಿ, ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ, ನಂತರ ಇನ್ನೊಂದನ್ನು ಬದಲಾಯಿಸಿ; ಎರಡನ್ನೂ ಒಟ್ಟಿಗೆ ಬದಲಾಯಿಸುವುದು ಯಾವುದು ಮುಖ್ಯವಾಗಿತ್ತು ಎಂದು ಹೇಳಲಾಗದಂತೆ ಮಾಡುತ್ತದೆ.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

ದೋಷ ಮಾಯವಾಗಲು NPS ನಲ್ಲಿ ಪ್ರತಿ ದುರ್ಬಲ ವಿಧಾನವನ್ನೂ ಸಕ್ರಿಯಗೊಳಿಸಬೇಡಿ. ಬ್ಯಾಕೆಂಡ್ನಲ್ಲಿ ಆಯ್ಕೆಮಾಡಿದ ವಿಧಾನವು ಪರಿಶೀಲಿಸಬಹುದಾದ ವಸ್ತುವಿರಬೇಕು: MS-CHAPv2 ಗೆ ಪಾಸ್ವರ್ಡ್ ಅಥವಾ ಡೊಮೇನ್ಗೆ ಪ್ರವೇಶ ಬೇಕು, ಮತ್ತು ನೀತಿ ಆ ವಸ್ತುವನ್ನು ಕಲ್ಪಿಸಲಾರದು. ನೀತಿಯನ್ನು ವಿಸ್ತರಿಸುವುದು ಅದೇ ಖಾತೆಯ ವಿರುದ್ಧ ಆಕ್ರಮಣಕಾರರು ಪ್ರಯತ್ನಿಸಬಹುದಾದದ್ದನ್ನೂ ವಿಸ್ತರಿಸುತ್ತದೆ. ವಿಧಾನ, ನೀತಿಯ ಹೆಸರು ಮತ್ತು ಬದಲಾವಣೆ ಉಲ್ಲೇಖವನ್ನು ಒಟ್ಟಿಗೆ ದಾಖಲಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಊಹೆಯ ಬದಲು ನಿರ್ಧಾರವನ್ನು ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುವಂತೆ.

ಟನೆಲ್ನ ಪ್ರಮಾಣಪತ್ರ ಮೌಲ್ಯೀಕರಣವನ್ನು ಮೊದಲಿದ್ದಂತೆಯೇ ಇರಿಸಿ. ರುಜುವಾತು ವಿಧಾನವು ಸರ್ವರ್ ಗುರುತಿನ ಬದಲಿಯಲ್ಲ, ಮತ್ತು ಪರೀಕ್ಷೆ ಉತ್ತೀರ್ಣವಾಗಲು TLS ಪರಿಶೀಲನೆಗಳನ್ನು ತಗ್ಗಿಸುವುದು ಒಂದು ಸಮಸ್ಯೆಯನ್ನು ಕೆಟ್ಟದರೊಂದಿಗೆ ಬದಲಾಯಿಸುತ್ತದೆ.

ಹಂತ 4: ಮೂರು ಲಾಗಿನ್ ಮತ್ತು ಒಂದು ಅನುಮತಿಯನ್ನು ಪರೀಕ್ಷಿಸಿ

ಅನುಮತಿಸಿದ ಬಳಕೆದಾರ, ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ ಮತ್ತು ಹೊರಗಿಡಲಾದ ಬಳಕೆದಾರರನ್ನು ಪರೀಕ್ಷಿಸಿ, ಪ್ರತಿಯೊಬ್ಬರನ್ನು ಹೊಸ ಸೆಷನ್ನಲ್ಲಿ. ಮೊದಲನೆಯದು ಮಾರ್ಗವನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಎರಡನೆಯದು ರುಜುವಾತು ಪರಿಶೀಲನೆ ನಿಜವೆಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಮೂರನೆಯದು ನೀತಿ ಇನ್ನೂ ಹೊರಗಿಡಬೇಕಾದವರನ್ನು ಹೊರಗಿಡುತ್ತಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಕ್ಯಾಶ್ ಮಾಡಿದ ಸೆಷನ್ ಮೂರನ್ನೂ ಮರೆಮಾಡಬಹುದು, ಆದ್ದರಿಂದ ಪ್ರಯತ್ನಗಳ ನಡುವೆ ಸಂಪರ್ಕ ಕಡಿತಗೊಳಿಸಿ.

/log print where topics~"ovpn"
/radius monitor 0

ಯಶಸ್ವಿ ದೃಢೀಕರಣ ಪರಿಶೀಲನಾ ಪಟ್ಟಿಯ ಅಂತ್ಯವಲ್ಲ. ಕ್ಲೈಂಟ್ ಪಡೆದ ವಿಳಾಸ ಮತ್ತು ಆ ವಿಳಾಸವು ತಲುಪಬಹುದಾದ ಸಂಪನ್ಮೂಲಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಬಳಕೆದಾರರು ಸರಿಯಾಗಿ ದೃಢೀಕರಣಗೊಂಡರೂ ತಪ್ಪು ಪೂಲ್ನಲ್ಲಿ ಬೀಳಬಹುದು. ನಿಗದಿಪಡಿಸಿದ ವಿಳಾಸ ತಪ್ಪಾಗಿದ್ದರೆ, ಸಮಸ್ಯೆ ವಿಧಾನದಲ್ಲಲ್ಲ, ಪ್ರೊಫೈಲ್ ಅಥವಾ RADIUS ಪ್ರತಿಕ್ರಿಯೆ ಗುಣಲಕ್ಷಣಗಳಲ್ಲಿದೆ. ಟಿಕೆಟ್ ಮುಚ್ಚುವ ಮೊದಲು ಎರಡನ್ನೂ ಖಚಿತಪಡಿಸಿ.

ರೌಟರ್ ಸೆಟ್ಟಿಂಗ್ ಮತ್ತು NPS ನೀತಿ ಒಂದೇ ವಿಧಾನವನ್ನು ಹೆಸರಿಸಿದಾಗ, ಅನುಮತಿಸಿದ ಬಳಕೆದಾರ ಹೊಸ ಸೆಷನ್ನೊಂದಿಗೆ ಸಂಪರ್ಕಿಸಿದಾಗ, ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ ನಿರಾಕರಿಸಲ್ಪಟ್ಟಾಗ, ಹೊರಗಿಡಲಾದ ಬಳಕೆದಾರ ಹೊರಗಿಡಲ್ಪಟ್ಟೇ ಇದ್ದಾಗ ಮತ್ತು ನಿಗದಿಪಡಿಸಿದ ವಿಳಾಸ ಉದ್ದೇಶಿತ ಪೂಲ್ಗೆ ಹೊಂದಿಕೆಯಾದಾಗ ಪರಿಶೀಲನಾ ಪಟ್ಟಿ ಪೂರ್ಣಗೊಳ್ಳುತ್ತದೆ. ಅದಕ್ಕಿಂತ ಕಡಿಮೆ ಏನಾದರೂ ಮುಂದಿನ ಲಾಗಿನ್ ಅನ್ನು ಅದೃಷ್ಟಕ್ಕೆ ಬಿಡುತ್ತದೆ.