RouterOS OpenVPN жана NPS: auth эмес, user-auth-method орнотуңуз

RouterOS-то auth туннелдин дайджестин тандайт, ал эми user-auth-method RADIUS суроосу кантип текшерилерин аныктайт. Экинчисин NPS саясатына шайкеш келтириңиз.

RouterOS OpenVPN кирүүсү менен NPSке жетип, баары бир четке кагышы мүмкүн, жана адаттагы себеп — аттары экөө тең аутентификацияга окшошкон эки параметр. Бири туннель үчүн криптографиялык дайджест тандайт; экинчиси колдонуучунун каттоо маалыматтары RADIUSка кантип берилерин аныктайт. Дайджестти өзгөртүү PAP суроосун эч качан MS-CHAPv2ге айландырбайт, кызмат канча жолу кайра башталса да. Төмөнкү тизме эки нерсени ажыратат, анан бир ийгиликсиз кирүүнү аны баалаган NPS саясатынын ичинен ээрчитет.

1-кадам: кайсынысын болсо да өзгөртүүдөн мурун эки параметрди тең окуңуз

Туннелди аяктаган маршрутизатордогу жарактуу OpenVPN сервер конфигурациясын басып чыгарыңыз, камдык көчүрмөдөн же көчүрүлгөн форум билдирүүсүнөн эмес. Сизди кызыктырган эки талаа адатта бир менюде болот жана альтернативалардай окулат. Алар андай эмес: бири маалымат каналына, экинчиси каттоо маалыматтарынын алмашуусуна тиешелүү.

/interface ovpn-server server print
/interface ovpn-server server export

auth талаасы sha1 жана sha256 сыяктуу дайджесттерди тизмелейт жана туннель пакеттерин аутентификациялаган HMACты башкарат. user-auth-method талаасы pap же mschap2ни тандайт жана маршрутизатор колдонуучунун каттоо маалыматтарын RADIUSка кантип берерин аныктайт. Дайджестти өзгөртүү экинчи жүрүм-турумду өзгөртө албайт, ошондуктан ошол эле четке кагуу биринчисине жасалган ар бир оңдоодон кийин да сакталат.

Эгер сиздин чыгарылышыңыз user-auth-method ты такыр сунуштабаса, ушул жерден токтоңуз. Эски RouterOS курулуштары аны OpenVPN серверинде сунуштабашы мүмкүн, ал эми оңдоо жаңыраактан көчүрүлгөн буйрукта эмес, сиз колдой алган чыгарылышта болушу керек.

2-кадам: кирүүнү чындап четке каккан саясатты табыңыз

NPS тарабында туташуу суроосу тармактык саясаттарга каршы бааланат, жана дал келген саясатта аталган аутентификация ыкмасы кардар чындап сунуш кылган ыкмалардын бири болушу керек. Жыйынтык санды окуунун ордуна бир ийгиликсиз кирүүнү убакыт жана колдонуучу боюнча байланыштырыңыз. Коопсуздук журналы уруксат берилген жана четке кагылган суроолорду себеп коду менен жазат, бул маршрутизатордун жалпы ката сабынан алда канча көп нерсени айтат.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Окуядан үч нерсени окуңуз: дал келген саясаттын атын, аутентификация ыкмасын жана себеп кодун. MS-CHAPv2 талап кылган саясат сырсөз туура болсо да PAP суроосун четке кагат, ал эми домен эсебин талап кылган саясат жергиликтүүсүн четке кагат. RADIUS кардар жазуусу да маршрутизатордун булак дарегине дал келиши керек, болбосо суроо кандайдыр бир саясат каралганга чейин эле ыргытылат. Булардын эч бири OpenVPN журналында көрүнбөйт.

Эгер суроо NPSке эч качан жетпесе, ушул жерден токтоңуз. Бул жалпы сыр, кардар дареги же UDP 1812 маселеси, жана аутентификация ыкмаларын өзгөртүү аны оңдобойт.

3-кадам: эки тарапта бир ыкманы өзгөртүңүз

Эгер бекитилген долбоор MS-CHAPv2 болсо, аны маршрутизатордо орнотуп, дал келген саясат аны кабыл аларын ырастаңыз. Бир тарапты өзгөртүңүз, кайра текшериңиз, анан экинчисин өзгөртүңүз; экөөнү бирге өзгөртүү кайсынысы маанилүү болгонун айта албай калтырат.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Ката жоголушу үчүн NPSте бардык алсыз ыкмаларды иштетпеңиз. Бэкендде тандалган ыкма текшере алган материал болушу керек: MS-CHAPv2 сырсөзгө же доменге жетүүнү талап кылат, ал эми саясат бул материалды ойлоп таба албайт. Саясатты кеңейтүү бир эсепке каршы чабуулчунун эмнени сынай аларын да кеңейтет. Ыкманы, саясаттын атын жана өзгөртүү шилтемесин чогуу жазыңыз, кийинки адам божомолду эмес, чечимди мураска алсын.

Туннелдин сертификатын текшерүүнү так мурункудай калтырыңыз. Каттоо маалыматтарынын ыкмасы сервердин инсандыгын алмаштырбайт, ал эми сынактан өтүү үчүн TLS текшерүүлөрүн төмөндөтүү бир маселени жаманыраак маселе менен алмаштырат.

4-кадам: үч кирүүнү жана бир уруксатты текшериңиз

Уруксат берилген колдонуучуну, туура эмес сырсөздү жана чыгарылган колдонуучуну текшериңиз, ар бирин жаңы сессияда. Биринчиси жолду далилдейт, экинчиси каттоо маалыматтарын текшерүүнүн чыныгы экенин далилдейт, үчүнчүсү саясат дагы эле тийиштүү адамдарды чыгарып жатканын далилдейт. Кэште сакталган сессия үчөөнү тең жашыра алат, ошондуктан аракеттердин ортосунда ажыратыңыз.

/log print where topics~"ovpn"
/radius monitor 0

Аутентификациянын ийгилиги тизменин аягы эмес. Кардар алган даректи жана ошол дарек жете алган ресурстарды текшериңиз, анткени колдонуучу туура аутентификацияланып, баары бир туура эмес пулга түшүшү мүмкүн. Эгер дайындалган дарек туура эмес болсо, маселе ыкмада эмес, профилде же RADIUS жообунун атрибуттарында. Билетти жаппас мурун экөөнү тең ырастаңыз.

Тизме маршрутизатор жөндөөсү жана NPS саясаты бир ыкманы атаганда, уруксат берилген колдонуучу жаңы сессия менен туташканда, туура эмес сырсөз четке кагылганда, чыгарылган колдонуучу чыгарылган бойдон калганда жана дайындалган дарек көздөлгөн пулга дал келгенде бүтөт. Андан азыраак нерсе кийинки кирүүнү кокустан көз каранды кылат.

Тектеш макалалар