Windows VPNди бекемдөө: туннелге чейин аутентификацияны оңдоңуз

Сиздин Windows VPN сервери колдонуучу атын жана сырсөздү сурайт, жана ошол бир диалог үч байланышсыз милдетти жашырат. Бирөө адамдын ким экенин далилдейт, бирөө линияны байкап турган адам бул далилди кайра колдонбошун тосот, ал эми бирөө андан кийин кайсы даректерге жете аларын чечет. Көпчүлүк чакан жайгаштыруулар адегенде туннелди бекемдеп, алгачкы эки милдетти демейки маанилерде калтырат, бул туура эмес ирет.

Чабуулчу иштеген ирет менен иштеңиз. Адегенде линиядан кармап алууга боло турган нерсе. Андан кийин ошол жазуу менен кийин кайталаса боло турган нерсе. Акырында, аутентификацияланган чабуулчу ичке киргенден кийин жете алган нерсе.

Үч милдет, бир диалог

Идентификация — адамдар ойлогон бөлүк, жана ал маселенин үчтөн бири гана. Идентификациянын далили алмашууну жазып алып, кийин кайра аракет кылган байкоочуга туруштук бериши керек. Ал эми авторизация — идентификация аныкталгандан кийин сервер кабыл алган өзүнчө чечим, жана Windows аны эсептик маалыматтарды текшерген кызматтан башка кызматта сактайт.

Үчөө бир ой челегинде жашаганда, адаттагы натыйжа — күчтүү аутентификация жасап, анан колдонуучуга баарына жетүүгө жол берген сервер. Муну кийин оңдоо азыр саясатты чечүүдөн кыйыныраак, анткени ошол кезде брандмауэр профили, даректер пулу жана маршруттар эски божомолду коддойт.

Каалаган параметрди кармоодон мурун үчөөнү жазууларыңызда бөлүп алыңыз, анан аларды эң алсыз звенодон өйдө оңдоңуз.

Эмне үчүн MS-CHAPv2 кайталоо тестине туруштук бере албайт

Эгер сервер дагы эле MS-CHAPv2 менен PPTP кабыл алса, туннел сырсөздү эч кандай маанилүү түрдө коргобойт. Чакырык менен жоопту кармап алып, тармактан сырт атака кылса болот, жана 2012-жылы ачык бузуу кызматы кадимки сырсөз үчүн ушундай кол алышуудан болжол менен бир күндө калыбына келтирүүнү көрсөткөн. Узунураак жана татаал сырсөз бааны көтөрөт; ал чабуулчуга тармактан керектүү материалды жок кылбайт.

Сизге керек касиет — кайталоого болбой турган эсептик маалымат. Клиент сертификаттары менен EAP-TLS ар бир түзмөккө өз идентификациясын берет жана так бир түзмөктү жокко чыгарууга мүмкүндүк берет.

Сертификаттарды жайгаштыруу — чыныгы иш: жеке CA, клиенттер текшерген жокко чыгаруу жолу жана кызматкерлер алмашканда да жашоочу жаңыртуу планы. Бул ишти долбоор катары караңыз, өзүңүз менен иштеп жаткан туннелдин ортосундагы тоскоол катары эмес. Ага брандмауэрди алмаштырууга бөлгөндөй бюджет бөлүңүз. Жалпы сырсөз биринчи жокко чыгарууга чейин гана арзан.

Алдын ала бөлүнгөн ачкыч жупту аутентификациялайт, адамды эмес

L2TP/IPsec алдын ала бөлүнгөн ачкыч менен эки шлюз бир сырды билерин далилдейт. Ал кайсы адам туташып жатканы жөнүндө эч нерсе айтпайт жана ошол катмарда бир кызматкерди экинчисинен ажырата албайт. Узун туш келди маанини колдонуңуз, айрым колдонмолор сунуш кылган он белгиден кыйла ашып, анткени кол алышууну кармап алган ар ким ачкычка тармактан сырт атака кыла алат.

Ошол профилдеги ар бир клиент сырды бөлүшөт, ошондуктан бир адамды алып салуу аны калгандардын баарына кайра бөлүштүрүүнү билдирет. Машина деңгээлиндеги сырдын үстүндө өзүнчө колдонуучу аутентификация кадамын карманыңыз жана клиенттердин саны өскөн сайын сертификаттарга өтүңүз. Алдын ала бөлүнгөн ачкыч MS-CHAPv2 менен бирге эки алсыз катмар, ал эми экинчиси биринчисин жокко чыгарат.

Авторизация Network Policy Server ичинде

Windows-тогу NPS ким туташа аларын чечет, жана муну аутентификация ийгиликтүү өткөндөн кийин жасайт. Ошол бөлүү — продукциядагы эң пайдалуу бекемдөө көзөмөлү, жана көптөгөн жайгаштыруулар аны тийбей калтырат.

Чыныгы чектөөлөрдү чагылдырган саясат шарттарын колдонуңуз: топ мүчөлүгү, колдоо кызматкерлер менен камтылган убакыт терезеси жана ден соолук текшерүүсүнөн түзмөктүн абалы. Маалыматтар сүрүлүүнү актаган жерде экинчи фактор кошуңуз, жана саясат ар бир туташуу аракети үчүн бааланарын унутпаңыз, бул аны документ эмес, тирүү көзөмөлгө айландырат.

RADIUS эсеби сизге ким жана качан туташканы тууралуу бир жазуу берет. Бул журнал окуяны карап чыгуу менен божомолдун ортосундагы айырма, жана ал бирөө окуйбу, жокпу, ошого карабастан бар.

Ийгиликтүү кирүүнүн кайда жете аларын чектеңиз

VPN адаптери бүт кошумча тармакка эмес, өз ролуна керектүү кызматтарга жол берген брандмауэр профилине түшүшү керек. Маршруттоо маселеси чыпкалоодон өзүнчө. Толук туннель клиент түзмөгүн коргойт жана ар бир байтты сиздин жогорку каналыңыз аркылуу өткөрөт, ал эми бөлүнгөн туннель жергиликтүү трафикти жергиликтүү кармап, түзмөктү ал кездешкен каалаган тармакка ачат.

Эки тандоонун эч бири коопсуздук демейкиси эмес. Экөөнү тең алар божомолдогон брандмауэр профилинин жанына жазуу керек.

Ийгиликсиздик жолдорун текшериңиз

Эмне бузулушу керектигин сынаңыз: туура эмес сырсөз, мөөнөтү өткөн сертификат, жокко чыгарылган түзмөк, топтон тыш колдонуучу. Ар бири башка чекитте ийгиликсиз болушу керек, жана журнал кайсы экенин айтышы керек. Топтомду адегенде сыноо эсебинде иштетиңиз, анан чыныгы колдонуучу үчүн кайталаңыз. Себепсиз окуялар журналына түшкөн баш тартууну ошол жазуу керек болгонго чейин кыйла эрте оңдоого татыктуу.

Анан кайсы порттор жарыяланганын жана эмне үчүн экенин ырастаңыз. PPTP'ге TCP 1723 жана порт катары эмес, IP протоколу катары GRE керек, IKEv2'ге UDP 500 жана 4500 керек, ал эми L2TP'ге UDP 1701 жана IPsec керек. Клиент туташа алышы үчүн башкаруу интерфейсин ачуу — оңдоо эмес, ачылышын күтүп турган экинчи окуя.

Акырында сервер эмнени жана канча убакыт жазарын чечиңиз. Аутентификация тарыхы жок акыркы чекит окуядан кийинки биринчи суроого жооп бере албайт, башкача айтканда аракет эч качан уруксат берилген беле.