PPTP/MS-CHAPv2ден баш тартуу: эски VPN үчүн колдонмо

Ай сайын алмаштырылып, сейфте сакталган жыйырма белгиден турган сырсөздөр MS-CHAPv2 менен иштеген PPTP серверин заманбап VPN кылбайт. Сырсөз — алсыздыгы алмашуунун ичинде жаткан алмашуунун кириши. Бул колдонмо ошол серверди мураска алган жана ага көз каранды аянтчаны кеспейин колдонуучуларды көчүрүүгө тийиш болгон адамга арналган. Кадамдарды ирети менен аткарыңыз, анткени ар бири бирөө «кирүү эмнеге күтүүсүздөн өзгөрдү» деп сураганда керек боло турган жазуу калтырат.

Бир нерсеге кол тийгизээрден мурун катмарды жазып алыңыз

PPTP деген сөзгө үч катмар топтолот жана ар бири өзүнчө иштен чыгат. Туннель — PPTP өзү, GRE кошулган TCP 1723. Аутентификация — сервер сунуштаган PPP ыкмасы, бул жерде MS-CHAPv2. Байланышты коргоо — MPPE, анын ачкычтары ошол аутентификация алмашуусунан келип чыгат. Үчөөнү тең атоо кийинки оңдоонун туура эмес катмарга түшүүсүнө жол бербейт.

Вики бетине ишенүүнүн ордуна тирүү конфигурацияны окуп, файлды, угуучуну жана аутентификациядан өткөн акыркы сессияларды жазып алыңыз.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windowsтун алыстан кирүү ролунда ошол эле түгөнүү эки буйруктан келет, экинчиси маанилүү, анткени роль бир убакта бир нече ыкманы жарнамалай алат, ал эми талаадагы кардарлар дайыма эң алсызы тууралуу гана келишет.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Туннель бүгүн чындыгында эмнени ташып жатканын аныктаңыз

Алмаштыргычты тандоодон мурун керектөөчүлөрдү тизмектеңиз: көчүп жүргөн ноутбуктар, филиал маршрутизатору, төлөм терминалы, талаа планшеттеринин топтому. Бир гана ички хостко жетүүсү керек болгон керектөөчүнү жылдыруу оңой. Кайра жазып болбой турган аппараттык камсыздоого орнотулган керектөөчүгө кардарды жаңыртуунун ордуна ортолук шлюз керек болушу мүмкүн, жана бул чечим өткөөлдүн ортосунда эмес, планда болушу керек.

Андан кийин кирүү алмашуусун байкай алган же ага таасир эте алган чабуулчу эмне аларын сураңыз. MS-CHAPv2 менен жооп колдонуучунун сырсөзүн тармаксыз калыбына келтирүүгө мүмкүндүк берген материалды камтыйт, ошондуктан узундук менен айлануу долбоорду оңдобойт: калыбына келтирилген сыр колдонуучу аны кайра колдонгон ар бир системада жарактуу.

MPPE ошол эле алсыздыкты мураска алат, анткени анын ачкычтары ошол алмашуудан келет, жана ал сизге заманбап AEAD шифрынын пакет боюнча бүтүндүгүн жана кайталоо жүрүм-турумун бербейт. Таза аутентификациядан өткөн сессия конфигурацияланган текшерүүлөр менен шайкештикти гана далилдеди, андан ашык эмес.

Не кыска түшкү тыныгуу, не колдонуучулардын аздыгы криптографиялык касиетти саясий касиетке айландырбайт.

Көчүрүүнү бир тейлөө терезесинде жүргүзүңүз

Алмаштыргычты орнотуп, аны бир пилоттук топ менен далилдеп, андан кийин эски угуучуну тынч камдык вариант катары калтырбай токтотуңуз. Баары дагы жете ала турган камдык вариант көчүрүү эмес, жана алсыз алмашууну которулууга эч качан аракет кылбаган колдонуучулар үчүн ачык кармайт.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Ошол эле терезеде брандмауэр жолун жабыңыз. GREнин эстеп кала турган порту жок, ошондуктан 47 протоколуна номери боюнча уруксат берген эреже көздөн качып, демон кеткенден кийин да кызматты жеткиликтүү кылып калтырат. Өчүргөн эрежени, анын мурунку ордун жана себебин жазып алыңыз, кийинки өзгөрүүлөрдү карап чыгуу аны байкабастан кайра орнотпосун.

Эсеп маалыматтарын конфигурациядан өзүнчө иштетиңиз. Кардар профилин алып салуу — керүү эмес, ал эми башка жерде дагы аутентификациядан өтүп жаткан эсеп кызматтан чыгарылган эмес.

Алмаштыргыч PPTP аткарган иштерди аткарарын текшериңиз

Текшерүү тизмеси «туташабы» эмес. Ал аутентификация, дарек бөлүштүрүү, DNS чечүү, маршрут тандоо, кайра туташуу жүрүм-туруму жана өнөктөштү текшерүү алмаштыргычтын астында дагы сакталабы деген суроо. Ар бирин пилоттук түзмөктө, ошол ирети менен сынап, байкалган жыйынтыкты күтүүнүн жанына жазыңыз.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Интерфейстеги дарек сүйлөшүүлөрдүн бүткөнүн далилдейт. Ал алыскы тарап күткөн маршрутка уруксат бергенин далилдебейт, ал эми жогорку суроо ушул хост үчүн гана жооп берет, берилген LAN үчүн эмес. Чечүүчүнүн жообу чечүүчүнүн жеткиликтүүлүгүн далилдейт, бөлүнгөн DNS саясаты туура аттарды ошол жакка жиберерин эмес.

Кайра туташууну акырында текшериңиз, анткени көпчүлүк алмаштыргычтар ошол жерде артка чегинет: ноутбукту уйкуга салыңыз, тармактарды алмаштырыңыз жана туннелдин эскирген маршруттарды калтырбай кайра орношуна көз жеткириңиз.

Кайтаруу, керүү жана сиз калтырган жазуу

Кайтаруу кызматты калыбына келтирет; ал коопсуздукту калыбына келтирбейт, жана бул айырма терезе ачылганга чейин үн чыгарып айтылышы керек. Эгер жаңы жол иштен чыкса, колдонуучуларды баарына PPTPни кайра күйгүзүү менен эмес, экинчи заманбап акыркы чекит же убактылуу шлюз аркылуу кайтарыңыз. Эски протоколдо бир өзгөчө кырдаал жолун кармоо жаңы эле документтештирген таасир аймагын кеңейтет.

Өткөөлдөн кийин PPTP аркылуу аутентификациядан өткөн эсептерди керүүгө жазыңыз, алардын сакталган профилдеринин мөөнөтү бүтүшүнө жол бериңиз жана GRE эрежесинин ар бир чектик түзмөктөн кеткенин ырастаңыз, анын ичинде эч ким эсинде сактабаган кырсыктан калыбына келтирүү көчүрмөсүнөн да.

Кыска жазуу калтырыңыз: тапкан протоколдоруңуз, ар бир угуучунун токтогон күнү, алмаштыргыч колдогон кардар версиялары жана чечимди кайра ача алган ээси. Сырсөз гигиенасы кийин да маанилүү, бирок ага татыктуу протоколдогу гигиена катары, эскини тирүү кармоонун далили катары эмес.