Windows VPN ಬಿಗಿಗೊಳಿಸುವಿಕೆ: ಟನೆಲ್‌ಗಿಂತ ಮೊದಲು ದೃಢೀಕರಣ ಸರಿಪಡಿಸಿ

ನಿಮ್ಮ Windows VPN ಸರ್ವರ್ ಬಳಕೆದಾರ ಹೆಸರು ಮತ್ತು ಪಾಸ್‌ವರ್ಡ್ ಕೇಳುತ್ತದೆ, ಮತ್ತು ಆ ಒಂದೇ ಸಂವಾದವು ಮೂರು ಸಂಬಂಧವಿಲ್ಲದ ಕರ್ತವ್ಯಗಳನ್ನು ಮರೆಮಾಡುತ್ತದೆ. ಒಂದು ವ್ಯಕ್ತಿ ಯಾರು ಎಂಬುದನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಒಂದು ತಂತಿಯನ್ನು ಗಮನಿಸುವವರು ಆ ಸಾಕ್ಷ್ಯವನ್ನು ಮತ್ತೆ ಬಳಸದಂತೆ ತಡೆಯುತ್ತದೆ, ಮತ್ತು ಒಂದು ನಂತರ ಯಾವ ವಿಳಾಸಗಳಿಗೆ ತಲುಪಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಹೆಚ್ಚಿನ ಸಣ್ಣ ನಿಯೋಗಗಳು ಮೊದಲು ಟನೆಲ್ ಅನ್ನು ಬಿಗಿಗೊಳಿಸಿ ಮೊದಲ ಎರಡು ಕರ್ತವ್ಯಗಳನ್ನು ಅವುಗಳ ಡೀಫಾಲ್ಟ್ ಮೌಲ್ಯಗಳಲ್ಲಿ ಬಿಡುತ್ತವೆ, ಅದು ತಪ್ಪಾದ ಕ್ರಮ.

ಆಕ್ರಮಣಕಾರ ಕೆಲಸ ಮಾಡುವ ಕ್ರಮದಲ್ಲೇ ಕೆಲಸ ಮಾಡಿ. ಮೊದಲು ತಂತಿಯಿಂದ ಹಿಡಿಯಬಹುದಾದದ್ದು. ನಂತರ ಆ ರೆಕಾರ್ಡಿಂಗ್‌ನೊಂದಿಗೆ ಮುಂದೆ ಮರುಪ್ಲೇ ಮಾಡಬಹುದಾದದ್ದು. ಕೊನೆಯದಾಗಿ, ದೃಢೀಕೃತ ಆಕ್ರಮಣಕಾರ ಒಳಗೆ ಪ್ರವೇಶಿಸಿದ ನಂತರ ತಲುಪಬಹುದಾದದ್ದು.

ಮೂರು ಕರ್ತವ್ಯಗಳು, ಒಂದು ಸಂವಾದ

ಗುರುತು ಎಂಬುದು ಜನರು ಯೋಚಿಸುವ ಭಾಗ, ಮತ್ತು ಅದು ಸಮಸ್ಯೆಯ ಮೂರನೇ ಒಂದು ಭಾಗ ಮಾತ್ರ. ಗುರುತಿನ ಸಾಕ್ಷ್ಯವು ವಿನಿಮಯವನ್ನು ರೆಕಾರ್ಡ್ ಮಾಡಿ ನಂತರ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುವ ವೀಕ್ಷಕನನ್ನು ಎದುರಿಸಬೇಕು. ಅಧಿಕಾರ ನೀಡುವಿಕೆ ಎಂಬುದು ಗುರುತು ನಿರ್ಧಾರವಾದ ನಂತರ ಸರ್ವರ್ ತೆಗೆದುಕೊಳ್ಳುವ ಪ್ರತ್ಯೇಕ ನಿರ್ಣಯ, ಮತ್ತು Windows ಅದನ್ನು ರುಜುವಾತುಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸುವ ಸೇವೆಗಿಂತ ಬೇರೆ ಸೇವೆಯಲ್ಲಿ ಇರಿಸುತ್ತದೆ.

ಮೂರೂ ಒಂದೇ ಮಾನಸಿಕ ಬಕೆಟ್‌ನಲ್ಲಿ ವಾಸಿಸಿದಾಗ, ಸಾಮಾನ್ಯ ಫಲಿತಾಂಶವೆಂದರೆ ಬಲವಾಗಿ ದೃಢೀಕರಿಸಿ ನಂತರ ಬಳಕೆದಾರರಿಗೆ ಎಲ್ಲವನ್ನೂ ತಲುಪಲು ಅನುಮತಿಸುವ ಸರ್ವರ್. ಅದನ್ನು ನಂತರ ಸರಿಪಡಿಸುವುದು ಈಗ ನೀತಿಯನ್ನು ನಿರ್ಧರಿಸುವುದಕ್ಕಿಂತ ಕಷ್ಟ, ಏಕೆಂದರೆ ಆ ಹೊತ್ತಿಗೆ ಫೈರ್‌ವಾಲ್ ಪ್ರೊಫೈಲ್, ವಿಳಾಸ ಪೂಲ್ ಮತ್ತು ಮಾರ್ಗಗಳು ಹಳೆಯ ಊಹೆಯನ್ನು ಸಂಕೇತಿಸುತ್ತವೆ.

ಯಾವುದೇ ಸೆಟ್ಟಿಂಗ್ ಮುಟ್ಟುವ ಮೊದಲು ಮೂರನ್ನು ನಿಮ್ಮ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಬೇರ್ಪಡಿಸಿ, ನಂತರ ಅವುಗಳನ್ನು ದುರ್ಬಲ ಕೊಂಡಿಯಿಂದ ಮೇಲಕ್ಕೆ ಸರಿಪಡಿಸಿ.

MS-CHAPv2 ಮರುಪ್ಲೇ ಪರೀಕ್ಷೆಯನ್ನು ಏಕೆ ತಡೆಯಲಾರದು

ಸರ್ವರ್ ಇನ್ನೂ MS-CHAPv2 ಜೊತೆಗೆ PPTP ಸ್ವೀಕರಿಸಿದರೆ, ಟನೆಲ್ ಪಾಸ್‌ವರ್ಡ್ ಅನ್ನು ಯಾವುದೇ ಅರ್ಥಪೂರ್ಣ ರೀತಿಯಲ್ಲಿ ರಕ್ಷಿಸುವುದಿಲ್ಲ. ಸವಾಲು ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಹಿಡಿದು ಆಫ್‌ಲೈನ್‌ನಲ್ಲಿ ಆಕ್ರಮಣ ಮಾಡಬಹುದು, ಮತ್ತು 2012 ರಲ್ಲಿ ಸಾರ್ವಜನಿಕ ಭೇದನ ಸೇವೆಯೊಂದು ಸಾಮಾನ್ಯ ಪಾಸ್‌ವರ್ಡ್‌ಗೆ ಅಂತಹ ಕೈಹಿಡಿತದಿಂದ ಸುಮಾರು ಒಂದು ದಿನದಲ್ಲಿ ಮರುಪಡೆಯುವಿಕೆಯನ್ನು ತೋರಿಸಿತು. ಉದ್ದವಾದ ಮತ್ತು ಸಂಕೀರ್ಣ ಪಾಸ್‌ವರ್ಡ್ ವೆಚ್ಚವನ್ನು ಹೆಚ್ಚಿಸುತ್ತದೆ; ಅದು ಆಕ್ರಮಣಕಾರನಿಗೆ ನೆಟ್‌ವರ್ಕ್‌ನಿಂದ ಬೇಕಾದ ಸಾಮಗ್ರಿಯನ್ನು ತೆಗೆದುಹಾಕುವುದಿಲ್ಲ.

ನಿಮಗೆ ಬೇಕಾದ ಗುಣವೆಂದರೆ ಮರುಪ್ಲೇ ಮಾಡಲಾಗದ ರುಜುವಾತು. ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳೊಂದಿಗೆ EAP-TLS ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ತನ್ನದೇ ಗುರುತನ್ನು ನೀಡುತ್ತದೆ ಮತ್ತು ನಿಖರವಾಗಿ ಒಂದು ಸಾಧನವನ್ನು ರದ್ದುಮಾಡಲು ಅನುಮತಿಸುತ್ತದೆ.

ಪ್ರಮಾಣಪತ್ರಗಳ ನಿಯೋಗವು ನಿಜವಾದ ಕೆಲಸ: ಖಾಸಗಿ CA, ಕ್ಲೈಂಟ್‌ಗಳು ಪರಿಶೀಲಿಸುವ ರದ್ದತಿ ಮಾರ್ಗ, ಮತ್ತು ಸಿಬ್ಬಂದಿ ಬದಲಾವಣೆಯನ್ನು ತಡೆಯುವ ನವೀಕರಣ ಯೋಜನೆ. ಆ ಕೆಲಸವನ್ನು ಯೋಜನೆಯಾಗಿ ಪರಿಗಣಿಸಿ, ನಿಮ್ಮ ಮತ್ತು ಕೆಲಸ ಮಾಡುವ ಟನೆಲ್ ನಡುವಿನ ಅಡ್ಡಿಯಾಗಿ ಅಲ್ಲ. ಅದಕ್ಕೆ ಫೈರ್‌ವಾಲ್ ಬದಲಾವಣೆಗೆ ಮೀಸಲಿಡುವಂತೆ ಬಜೆಟ್ ಮೀಸಲಿಡಿ. ಹಂಚಿದ ಪಾಸ್‌ವರ್ಡ್ ಮೊದಲ ರದ್ದತಿಯವರೆಗೆ ಮಾತ್ರ ಅಗ್ಗ.

ಮುಂಚಿತವಾಗಿ ಹಂಚಿದ ಕೀ ಜೋಡಿಯನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ, ವ್ಯಕ್ತಿಯನ್ನಲ್ಲ

L2TP/IPsec ಮುಂಚಿತವಾಗಿ ಹಂಚಿದ ಕೀಯೊಂದಿಗೆ ಎರಡು ಗೇಟ್‌ವೇಗಳು ಒಂದೇ ರಹಸ್ಯವನ್ನು ತಿಳಿದಿವೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಅದು ಯಾವ ಮನುಷ್ಯ ಸಂಪರ್ಕಿಸುತ್ತಿದ್ದಾನೆ ಎಂಬುದನ್ನು ಏನೂ ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಆ ಪದರದಲ್ಲಿ ಒಬ್ಬ ಉದ್ಯೋಗಿಯನ್ನು ಇನ್ನೊಬ್ಬರಿಂದ ಪ್ರತ್ಯೇಕಿಸಲಾರದು. ಉದ್ದವಾದ ಯಾದೃಚ್ಛಿಕ ಮೌಲ್ಯವನ್ನು ಬಳಸಿ, ಕೆಲವು ಮಾರ್ಗದರ್ಶಿಗಳು ಸೂಚಿಸುವ ಹತ್ತು ಅಕ್ಷರಗಳನ್ನು ಬಹಳ ಮೀರಿ, ಏಕೆಂದರೆ ಕೈಹಿಡಿತವನ್ನು ಹಿಡಿಯುವ ಯಾರಾದರೂ ಕೀಯನ್ನು ಆಫ್‌ಲೈನ್‌ನಲ್ಲಿ ಆಕ್ರಮಣ ಮಾಡಬಹುದು.

ಆ ಪ್ರೊಫೈಲ್‌ನ ಪ್ರತಿ ಕ್ಲೈಂಟ್ ರಹಸ್ಯವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಬ್ಬ ವ್ಯಕ್ತಿಯನ್ನು ತೆಗೆದುಹಾಕುವುದು ಅದನ್ನು ಉಳಿದ ಎಲ್ಲರಿಗೂ ಮರುಹಂಚಿಕೆ ಮಾಡುವುದನ್ನು ಅರ್ಥೈಸುತ್ತದೆ. ಯಂತ್ರ ಮಟ್ಟದ ರಹಸ್ಯದ ಮೇಲೆ ಪ್ರತ್ಯೇಕ ಬಳಕೆದಾರ ದೃಢೀಕರಣ ಹಂತವನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಜನಸಂಖ್ಯೆ ಬೆಳೆದಂತೆ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಹೋಗಿ. ಮುಂಚಿತವಾಗಿ ಹಂಚಿದ ಕೀ MS-CHAPv2 ಜೊತೆಗೆ ಎರಡು ದುರ್ಬಲ ಪದರಗಳು, ಮತ್ತು ಎರಡನೆಯದು ಮೊದಲನೆಯದನ್ನು ನಿರರ್ಥಕಗೊಳಿಸುತ್ತದೆ.

ಅಧಿಕಾರ ನೀಡುವಿಕೆ Network Policy Server ನಲ್ಲಿದೆ

Windows ನಲ್ಲಿ NPS ಯಾರು ಸಂಪರ್ಕಿಸಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ದೃಢೀಕರಣ ಈಗಾಗಲೇ ಯಶಸ್ವಿಯಾದ ನಂತರ ಅದನ್ನು ಮಾಡುತ್ತದೆ. ಆ ಬೇರ್ಪಡಿಕೆಯು ಉತ್ಪನ್ನದಲ್ಲಿ ಅತ್ಯಂತ ಉಪಯುಕ್ತ ಬಿಗಿಗೊಳಿಸುವ ನಿಯಂತ್ರಣ, ಮತ್ತು ಅನೇಕ ನಿಯೋಗಗಳು ಅದನ್ನು ಮುಟ್ಟದೆ ಬಿಡುತ್ತವೆ.

ನಿಜವಾದ ಮಿತಿಗಳನ್ನು ಪ್ರತಿಬಿಂಬಿಸುವ ನೀತಿ ಷರತ್ತುಗಳನ್ನು ಬಳಸಿ: ಗುಂಪು ಸದಸ್ಯತ್ವ, ಬೆಂಬಲ ಸಿಬ್ಬಂದಿಯೊಂದಿಗೆ ಇರುವ ಸಮಯ ವಿಂಡೋ, ಮತ್ತು ಆರೋಗ್ಯ ಪರಿಶೀಲನೆಯಿಂದ ಸಾಧನ ಸ್ಥಿತಿ. ಮಾಹಿತಿಯು ಘರ್ಷಣೆಯನ್ನು ಸಮರ್ಥಿಸುವಲ್ಲಿ ಎರಡನೇ ಅಂಶ ಸೇರಿಸಿ, ಮತ್ತು ನೀತಿಯನ್ನು ಪ್ರತಿ ಸಂಪರ್ಕ ಪ್ರಯತ್ನಕ್ಕೆ ಮೌಲ್ಯಮಾಪನ ಮಾಡಲಾಗುತ್ತದೆ ಎಂದು ನೆನಪಿಡಿ, ಅದು ಅದನ್ನು ದಾಖಲೆಯಲ್ಲದೆ ಜೀವಂತ ನಿಯಂತ್ರಣವಾಗಿಸುತ್ತದೆ.

RADIUS ಲೆಕ್ಕಪರಿಶೋಧನೆ ಯಾರು ಯಾವಾಗ ಸಂಪರ್ಕಿಸಿದರು ಎಂಬ ಒಂದು ದಾಖಲೆಯನ್ನೂ ನೀಡುತ್ತದೆ. ಆ ಲಾಗ್ ಘಟನೆ ಪರಿಶೀಲನೆ ಮತ್ತು ಊಹೆಯ ನಡುವಿನ ವ್ಯತ್ಯಾಸ, ಮತ್ತು ಯಾರಾದರೂ ಅದನ್ನು ಓದಲಿ ಬಿಡಲಿ ಅದು ಇರುತ್ತದೆ.

ಯಶಸ್ವಿ ಲಾಗಿನ್ ಎಲ್ಲಿಗೆ ತಲುಪಬಹುದು ಎಂಬುದನ್ನು ಮಿತಿಗೊಳಿಸಿ

VPN ಅಡಾಪ್ಟರ್ ಇಡೀ ಉಪಜಾಲದ ಬದಲು ಅದರ ಪಾತ್ರಕ್ಕೆ ಬೇಕಾದ ಸೇವೆಗಳನ್ನು ಅನುಮತಿಸುವ ಫೈರ್‌ವಾಲ್ ಪ್ರೊಫೈಲ್‌ಗೆ ಇಳಿಯಬೇಕು. ಮಾರ್ಗ ನಿರ್ಧಾರದ ಪ್ರಶ್ನೆ ಶೋಧನೆಯಿಂದ ಪ್ರತ್ಯೇಕ. ಪೂರ್ಣ ಟನೆಲ್ ಕ್ಲೈಂಟ್ ಸಾಧನವನ್ನು ರಕ್ಷಿಸಿ ಪ್ರತಿ ಬೈಟ್ ಅನ್ನು ನಿಮ್ಮ ಮೇಲ್ಮುಖ ಲಿಂಕ್ ಮೂಲಕ ಕಳುಹಿಸುತ್ತದೆ, ಆದರೆ ವಿಭಜಿತ ಟನೆಲ್ ಸ್ಥಳೀಯ ಸಂಚಾರವನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಇರಿಸಿ ಸಾಧನವನ್ನು ಅದು ಇರುವ ಯಾವುದೇ ನೆಟ್‌ವರ್ಕ್‌ಗೆ ಒಡ್ಡುತ್ತದೆ.

ಎರಡೂ ಆಯ್ಕೆಗಳಲ್ಲಿ ಯಾವುದೂ ಭದ್ರತಾ ಡೀಫಾಲ್ಟ್ ಅಲ್ಲ. ಎರಡನ್ನೂ ಅವು ಊಹಿಸುವ ಫೈರ್‌ವಾಲ್ ಪ್ರೊಫೈಲ್‌ನ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಬೇಕು.

ವಿಫಲತೆಯ ಮಾರ್ಗಗಳನ್ನು ಪರಿಶೀಲಿಸಿ

ಏನು ಮುರಿಯಬೇಕು ಎಂದು ಪರೀಕ್ಷಿಸಿ: ತಪ್ಪು ಪಾಸ್‌ವರ್ಡ್, ಅವಧಿ ಮುಗಿದ ಪ್ರಮಾಣಪತ್ರ, ರದ್ದಾದ ಸಾಧನ, ಗುಂಪಿನ ಹೊರಗಿನ ಬಳಕೆದಾರ. ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ಹಂತದಲ್ಲಿ ವಿಫಲವಾಗಬೇಕು, ಮತ್ತು ಲಾಗ್ ಯಾವುದು ಎಂದು ಹೇಳಬೇಕು. ಸೆಟ್ ಅನ್ನು ಮೊದಲು ಪರೀಕ್ಷಾ ಖಾತೆಯಲ್ಲಿ ಚಲಾಯಿಸಿ, ನಂತರ ನಿಜವಾದ ಬಳಕೆದಾರರಿಗೆ ಪುನರಾವರ್ತಿಸಿ. ಕಾರಣವಿಲ್ಲದೆ ಘಟನೆ ಲಾಗ್‌ಗೆ ಬರುವ ನಿರಾಕರಣೆ ಆ ದಾಖಲೆ ಬೇಕಾಗುವ ಮೊದಲೇ ಸರಿಪಡಿಸಲು ಯೋಗ್ಯ.

ನಂತರ ಯಾವ ಪೋರ್ಟ್‌ಗಳು ಪ್ರಕಟವಾಗಿವೆ ಮತ್ತು ಏಕೆ ಎಂದು ದೃಢೀಕರಿಸಿ. PPTP ಗೆ TCP 1723 ಮತ್ತು ಪೋರ್ಟ್ ಬದಲು IP ಪ್ರೋಟೋಕಾಲ್ ಆಗಿ GRE ಬೇಕು, IKEv2 ಗೆ UDP 500 ಮತ್ತು 4500 ಬೇಕು, ಮತ್ತು L2TP ಗೆ UDP 1701 ಜೊತೆಗೆ IPsec ಬೇಕು. ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಿಸಲು ನಿರ್ವಹಣಾ ಇಂಟರ್‌ಫೇಸ್ ತೆರೆಯುವುದು ರಿಪೇರಿ ಅಲ್ಲ, ಅದು ಪತ್ತೆಯಾಗಲು ಕಾಯುತ್ತಿರುವ ಎರಡನೇ ಘಟನೆ.

ಕೊನೆಯದಾಗಿ, ಸರ್ವರ್ ಏನನ್ನು ಎಷ್ಟು ಕಾಲ ದಾಖಲಿಸುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸಿ. ದೃಢೀಕರಣ ಇತಿಹಾಸವಿಲ್ಲದ ಅಂತ್ಯಬಿಂದು ಘಟನೆಯ ನಂತರದ ಮೊದಲ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸಲಾರದು, ಅಂದರೆ ಪ್ರಯತ್ನ ಎಂದಾದರೂ ಅಧಿಕೃತವಾಗಿತ್ತೇ ಎಂಬುದು.