RouterOS OpenVPN an NPS: user-auth-method astellen, net auth

Op RouterOS wielt auth den Tunnel-Digest, während user-auth-method entscheet, wéi d'RADIUS-Ufro gepréift gëtt. Richt deen zweeten op d'NPS-Politik aus.

RouterOS kann NPS mat engem OpenVPN-Login erreechen an trotzdem ofgeleent ginn, an déi üblech Ursaach sinn zwou Astellungen, deenen hir Nimm allebéid no Authentifikatioun kléngen. Eng wielt en kryptographesche Digest fir den Tunnel; déi aner entscheet, wéi d'Berechtegungsdate vum Benotzer un RADIUS presentéiert gëtt. Eng Ännerung vum Digest mécht ni eng PAP-Ufro zu MS-CHAPv2, egal wéi dacks den Déngscht nei start. D'Checklëscht hei drënner trennt déi zwee an duerno verfollegt ee feelgeschloen Login duerch d'NPS-Politik, déi en beurteelt huet.

Schrëtt 1: liest béid Astellungen, ier dir eng vun hinnen ännert

Dréckt déi effektiv OpenVPN-Serverkonfiguratioun um Router aus, deen den Tunnel ofschléisst, net aus enger Sécherungskopie oder engem kopéierte Forumsbäitrag. Déi zwee Felder, déi dir wësse wëllt, sinn normalerweis am selwechte Menü a liese sech, wéi wann et Alternativen wären. Si sinn et net: een geet ëm den Dateskanal, deen aneren ëm den Austausch vun de Berechtegungsdate.

/interface ovpn-server server print
/interface ovpn-server server export

D'Feld auth lëscht Digeste wéi sha1 an sha256 op a kontrolléiert den HMAC, deen Tunnelpakete authentifizéiert. D'Feld user-auth-method wielt pap oder mschap2 an entscheet, wéi de Router dem Benotzer seng Berechtegungsdate un RADIUS presentéiert. Eng Digest-Ännerung kann dat zweet Verhalen net änneren, an duerfir iwwerlieft déiselwecht Oflehnung all Upassung vun der éischter.

Stopp hei, wann deng Versioun user-auth-method guer net ubitt. Méi al RouterOS-Builden ubidden et vläicht net um OpenVPN-Server, an d'Korrektur gehéiert an eng Versioun, déi s du ënnerstëtze kanns, net an eng Kommando, déi aus enger méi neier kopéiert gouf.

Schrëtt 2: fannt d'Politik, déi de Login tatsächlech ofgeleent huet

Op der NPS-Säit gëtt eng Verbindungsufro géint Netzwierkpolitike bewäert, an d'Authentifikatiounsmethod, déi an der passender Politik genannt gëtt, muss eng sinn, déi de Client tatsächlech ugebueden huet. Korreléiert ee feelgeschloen Login no Zäit a Benotzer, amplaz eng Zommzeil ze liesen. De Sécherheetslog notéiert erlaabten an ofgeleenten Ufroen mat engem Grondcode, wat dir vill méi seet wéi dem Router seng allgemeng Feelerzeil.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Liest dräi Saachen an der Evenement: den Numm vun der passender Politik, d'Authentifikatiounsmethod an de Grondcode. Eng Politik, déi MS-CHAPv2 verlaangt, leent eng PAP-Ufro och bei korrektem Passwuert of, an eng Politik, déi e Domainkont verlaangt, leent e lokalen of. Den RADIUS-Client-Andrag muss och mat der Quelladress vum Router iwwereneestëmmen, soss gëtt d'Ufro verweigert, ier eng Politik consultéiert gëtt. Nichts dovu erschéngt am OpenVPN-Log.

Stopp hei, wann d'Ufro NPS ni erreecht. Dat ass e Problem mat dem gedeelte Geheimnis, der Clientadress oder UDP 1812, an d'Ännere vun den Authentifikatiounsmethoden hëlleft net.

Schrëtt 3: ännert eng Method, op béide Säiten

Wann den approuvéierten Design MS-CHAPv2 ass, stellt en um Router an a bestätegt, datt déi passend Politik en akzeptéiert. Ännert eng Säit, testt nach eng Kéier an ännert duerno déi aner; béid op eemol z'ännere léisst dech net soen, wat wichteg war.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Aktivéiert net all méi schwaach Method op NPS, fir datt de Feeler verschwënnt. De Backend muss Material halen, dat déi gewielte Method verifizéiere kann: MS-CHAPv2 brauch Zougang zum Passwuert oder zum Domain, an eng Politik kann dat Material net erfinden. D'Politik ze verbreeden verbreet och, wat en Ugräifer géint dee selwechte Kont probéiere kann. Schreift d'Method, den Numm vun der Politik an d'Ännerungsreferenz zesummen op, sou datt déi nächst Persoun eng Entscheedung ierft an net eng Viraussetzung.

Loosst d'Zertifikatvalidéierung vum Tunnel genee sou, wéi se war. Eng Berechtegungsmethod ersetzt net d'Serveridentitéit, an TLS-Prüfunge vu senken, fir datt en Test passéiert, tauscht e Problem géint e méi schlëmmt.

Schrëtt 4: testt dräi Loginen an eng Erlaabnis

Testt en erlaabte Benotzer, e falscht Passwuert an en ausgeschlossene Benotzer, jee an enger frëscher Sessioun. Den éischten beweist de Wee, den zweeten beweist, datt d'Berechtegungsprüfung real ass, an den drëtten beweist, datt d'Politik nach ëmmer déi ausschléisst, déi se soll. Eng gecachte Sessioun kann all dräi verstoppen, also trennt tëscht de Versich.

/log print where topics~"ovpn"
/radius monitor 0

Erfollegräich Authentifikatioun ass net d'Enn vun der Checklëscht. Préift d'Adress, déi de Client kritt huet, an d'Ressourcen, déi déi Adress erreeche kann, well e Benotzer sech richteg authentifizéiere kann an trotzdem am falsche Pool landt. Wann déi zougewisen Adress falsch ass, läit de Problem am Profil oder an den RADIUS-Antwäertattributen, net an der Method. Bestätegt béid, ier dir den Ticket zoumaacht.

D'Checklëscht ass fäerdeg, wann d'Routerastellung an d'NPS-Politik déiselwecht Method nennen, en erlaabte Benotzer sech mat enger frëscher Sessioun verbënnt, e falscht Passwuert ofgeleent gëtt, en ausgeschlossene Benotzer nach ëmmer ausgeschloss ass an d'zougewisen Adress zum virgesinnene Pool passt. Alles manner léisst den nächsten Login dem Zoufall.

Ähnlech Artikelen