PPTP/MS-CHAPv2 ofschafen: Runbook fir en alen VPN

Passwierder mat zwanzeg Zeechen, déi all Mount gewiesselt ginn an an engem Safe leien, maachen aus engem PPTP-Server mat MS-CHAPv2 kee moderne VPN. D'Passwuert ass en Input an en Austausch, deem seng Schwächt am Austausch selwer läit. Dëst Runbook ass fir deen, deen dee Server geierft huet an d'Benotzer misst do ewechbréngen, ouni de Site ofzeschneiden, deen dovun ofhänkt. Maacht d'Schrëtt der Rei no, well jiddereen eng Opzeechnung hannerléisst, déi Dir braucht, wann een freet, firwat den Zougang op eemol geännert huet.

Schreift de Stack op, ier Dir eppes ufasst

Dräi Schichten ginn an d'Wuert PPTP zesummengefaasst, an all eenzelt versot op seng eege Manéier. Den Tunnel ass PPTP selwer, GRE plus TCP 1723. D'Authentifikatioun ass déi PPP-Method, déi de Server ubitt, hei MS-CHAPv2. De Verbindungsschutz ass MPPE, deem seng Schlësselen aus deem Authentifikatiounsaustausch ofgeleet ginn. All dräi ze nennen verhënnert, datt eng spéider Korrektur op der falscher Schicht landt.

Liest déi lieweg Konfiguratioun, amplaz enger Wikisäit ze vertrauen, a notéiert d'Datei, de Listener an déi lescht Sessiounen, déi sech authentifizéiert hunn.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Op enger Windows-Roll fir Fernzougang kënnt deeselwechten Inventar aus zwee Kommandoen, an den zweeten ass wichteg, well eng Roll verschidde Methode gläichzäiteg annoncéiere kann, während d'Cliente vum Terrain ëmmer just déi schwaachst aushandelen.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Entscheet, wat den Tunnel haut tatsächlech dréit

Lëscht d'Benotzer op, ier Dir en Ersatz auswielt: reesend Laptopen, e Filialrouter, en Zaalungsterminal, eng Rei Feldtabletten. En Notzer, dee just en eenzegen internen Host muss erreechen, ass einfach ze verréckelen. En Notzer, deen an Hardware agebaut ass, déi Dir net nei flashe kënnt, brauch vläicht en Zwëschegateway amplaz engem Clientupgrade, an déi Entscheidung gehéiert an de Plang, net an d'Mëtt vum Iwwergank.

Frot dann, wat en Ugräifer kréich, deen den Umellaustausch observéieren oder beaflosse kann. Bei MS-CHAPv2 enthält d'Äntwert Material, dat eng Offline-Recupertéierung vum Benotzerpasswuert erlaabt, an dat ass just de Grond, firwat Längt an Austausch den Design net reparéieren: dat recupert Geheimnis ass op all System gülteg, op deem den Notzer et widderbenotzt huet.

MPPE ierft déi selwecht Schwächt, well seng Schlësselen aus deem Austausch kommen, an et gëtt Dir weder d'Integritéit pro Pak nach d'Replay-Verhalen vun enger moderner AEAD-Chiffre. Eng Sessioun, déi propper authentifizéiert, huet just d'Kompatibilitéit mat de konfiguréierte Prüfungen bewisen an näischt méi.

Weder eng kuerz Mëttegspaus nach eng kleng Zuel vu Benotzer verwandelt eng kryptografesch Eegenschaft an eng politesch.

Maacht d'Migratioun an engem eenzegen Ënnerhaltsfenster

Stellt den Ersatz op, beweise en mat enger Pilotgrupp, a stoppt dann den ale Listener, amplaz en als rouege Réckzuch stoen ze loossen. En Réckzuch, deen nach jiddereen erreeche kann, ass keng Migratioun, an en hält den Austausch schwaach genau deene Benotzer op, déi sech ni d'Mühe maachen ze wiesselen.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Maacht de Firewallwee am selwechte Fenster zou. GRE huet kee Port ze erënneren, dofir ass eng Regel, déi de Protokoll 47 no der Nummer erlaabt, liicht z'iwwersinn, an se léisst de Service erreechbar, och nodeems den Daemon fort ass. Notéiert d'Regel, déi Dir ewechgeholl hutt, hir vireg Positioun an de Grond, damit eng spéider Ännerungsprüfung se net aus Versehen erëmhirstellt.

Behandelt Zougangsdaten getrennt vun der Konfiguratioun. E Clientprofil ewechzehuelen ass keen Widerruff, an e Kont, deen sech soss nach authentifizéiert, ass net ofgeschaf.

Iwwerpréift, datt den Ersatz déi Aarbechte mécht, déi PPTP gemaach huet

D'Checklëscht ass net “verbënnt et”. Se ass, ob Authentifikatioun, Adressverdeelung, DNS-Opléisung, Routenauswiel, Widderverbindungsverhalen an Peer-Iwwerpréiwung nach ëmmer ënner dem Ersatz halen. Test jiddereng op engem Pilotapparat, an därer Rei, a schreift dat observéiert Resultat niewent der Erwaardung op.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Eng Adress um Interface beweist, datt d'Verhandlungen ofgeschloss sinn. Se beweist net, datt déi wäit Säit de Wee autoriséiert huet, deen Dir erwaart, an d'Ufro uewen äntwert just fir dësen Host, net fir eng weidergeleet LAN. Eng Resolver-Äntwert beweist d'Erreechbarkeet vun engem Resolver, net datt Split-DNS-Politik déi richteg Nimm dohi schéckt.

Iwwerpréift d'Widderverbindung als Lescht, well do ginn déi meescht Ersätz zréck: setzt en Laptop an de Schlof, wiesselt d'Netzwierker a bestätegt, datt den Tunnel sech erëm opbaut, ouni veraltert Route hannerzeloossen.

Zréckrollen, Widerruff an d'Opzeechnung, déi Dir hannerléisst

Zréckrollen hirstellt de Service; et hirstellt d'Sécherheet net, an den Ënnerscheed muss haart gesot ginn, ier d'Fenster opgeet. Wann den neie Wee feelt, bréngt d'Benotzer iwwer en zweeten moderne Endpunkt oder en temporäre Gateway zréck, net andeems Dir PPTP fir jiddereen erëm aschalt. Eng Noutfallroute um ale Protokoll ze behalen verbreet d'Expositioun, déi Dir just dokumentéiert hutt.

Nom Iwwergank rufft d'Konten zeréck, déi sech iwwer PPTP authentifizéiert hunn, loosst hir gespäichert Profiler oflafen a bestätegt, datt d'GRE-Regel vun all Edge-Apparat fort ass, inklusiv der Katastrophen-Recupertéierungs-Kopie, un déi sech keen erënnert.

Hannerléisst eng kuerz Opzeechnung: d'Protokoller, déi Dir fonnt hutt, den Datum wéini all Listener opgehalen huet, d'Clientversiounen, déi den Ersatz ënnerstëtzt, an de Proprietär, deen d'Entscheidung ka widder opmaachen. Passwuert-Hygiene bleift duerno wichteg, awer als Hygiene op engem Protokoll, deen se verdéngt, net als Argument, fir den aalen um Liewen ze halen.