Windows-VPN härten: korrigéiert d'Authentifikatioun virum Tunnel

Ären Windows-VPN-Server freet no engem Benotzernumm an engem Passwuert, an dës eenzeg Dialog verstoppt dräi onverbonnen Aufgaben. Eng beweist, wien d'Persoun ass, eng hält dat Beweisstéck dovun of, vun engem deen d'Leitung observéiert, erëm benotzt ze ginn, an eng decidéiert, wéi eng Adressen se duerno erreeche kann. Déi meescht kleng Installatiounen härten als éischt den Tunnel a loossen déi éischt zwou Aufgabe op hire Standardwäerter, wat déi falsch Reiefolleg ass.

Schafft an der Reiefolleg, an där den Ugräifer schafft. Als éischt dat, wat een aus der Leitung fale kann. Duerno dat, wat een duerno mat dëser Opnam erëmspille kann. Zum Schluss dat, wat en authentifizéierten Ugräifer erreeche kann, wann en emol bannen ass.

Dräi Aufgaben, eng Dialog

D'Identitéit ass den Deel, un deen d'Leit denken, an se ass just en Drëttel vum Problem. D'Beweisstéck vun der Identitéit muss en Observateur iwwerstoen, deen den Austausch opgeholl huet an et méi spéit nach eng Kéier versicht. D'Autorisatioun ass eng separat Entscheedung, déi de Server hëlt nodeems d'Identitéit gekläert ass, an Windows hält se an engem anere Service wéi deem, deen d'Zougangsdaten validéiert.

Wann all dräi an engem mentale Becher liewen, ass dat üblech Resultat e Server, deen haart authentifizéiert an duerno dem Benotzer erlaabt, alles z'erreechen. Dat méi spéit ze korrigéieren ass méi schwéier wéi elo d'Politik ze decidéieren, well bis dohinn hunn de Firewallprofil, den Adresspool an d'Routen all déi al Unhuel codéiert.

Trennt déi dräi an Ären Notizen, ier Dir eng Astellung beréiert, an da korrigéiert se vum schwaachsten Glidd no uewen.

Firwat MS-CHAPv2 en Erëmspilltest net iwwersteet

Wann de Server nach ëmmer PPTP mat MS-CHAPv2 acceptéiert, schützt den Tunnel d'Passwuert a kengem sënnvolle Sënn. D'Challenge an d'Äntwert kënnen opgeholl an offline ugegraff ginn, an 2012 huet en ëffentleche Knackservice d'Erhuelung aus sou engem Handshake a ronn engem Dag fir en typescht Passwuert gewisen. En längert a komplexert Passwuert erhéicht d'Käschten; et hëlt de Material, deen den Ugräifer aus dem Netzwierk brauch, net ewech.

D'Eegeschaft, déi Dir wëllt, ass eng Zourgangsdatei, déi een net erëmspille kann. EAP-TLS mat Clientzertifikater gëtt all Apparat seng eege Identitéit a léisst Iech genee een Apparat widerrufen.

D'Zertifikater auszerollen ass richteg Aarbecht: eng privat CA, e Widderruffwee, deen d'Cliente kontrolléieren, an e Erneierunsplang, deen de Personalwandel iwwersteet. Behandelt déi Aarbecht als de Projet an net als en Hindernis tëscht Iech an engem funktionéierenden Tunnel. Budgetéiert derfir, wéi Dir fir en Austausch vum Firewall budgetéiere géift. En gedeelt Passwuert ass just bis zum éischte Widderruff méi bëlleg.

E virgedeelte Schlëssel authentifizéiert d'Paar, net d'Persoun

L2TP/IPsec mat engem virgedeelte Schlëssel beweist, datt zwou Paarten dat selwecht Geheimnis kennen. Et seet näischt doriwwer, wéi eng Persoun sech verbënnt, an et kann op där Schicht een Employé net vun engem aneren ënnerscheeden. Benotzt en laange zoufällegen Wäert, wäit iwwer déi zéng Zeechen, déi eenzel Guiden proposéieren, well jidderee, deen den Handshake fale kann, de Schlëssel offline ugräife kann.

All Client op deem Profil deelt d'Geheimnis, also heescht eng Persoun ewechzehuelen, et un all déi aner ze verdeelen, déi bleiwen. Hält eng getrennte Benotzerauthentifikatiounsstopp iwwer dem Geheimnis op Maschinnenniveau, an iwwergitt op Zertifikater, wéi d'Clientpopulatioun wiisst. E virgedeelte Schlëssel kombinéiert mat MS-CHAPv2 sinn zwou schwaach Schichten, an déi zweet hieft déi éischt op.

D'Autorisatioun gehéiert an den Network Policy Server

NPS op Windows decidéiert, wien sech verbënne kann, an dat no deem d'Authentifikatioun schonn erfollegräich war. Déi Trennung ass déi nëtzlechst Härtungskontroll am Produkt, a vill Installatiounen loossen se onberéiert.

Benotzt Politikbedingungen, déi richteg Aschränkungen erëmspigelen: Gruppememberschaft, d'Zäitfenster an deem de Support besat ass, an den Apparatzoustand aus enger Gesondheetskontroll. Füügt en zweeten Facteur derbäi, wou d'Donnéeën d'Reiwung justifiéieren, a denkt drun, datt d'Politik pro Verbindungsversuch evaluéiert gëtt, wat se zu enger lieweger Kontroll maach an net zu engem Dokument.

D'RADIUS-Comptabilitéit gëtt Iech och een Opzeechnung doruechter, wien a wéini sech verbonnen huet. Dee Log ass den Ënnerscheed tëscht enger Incident-Revue an enger Vermutung, an et gëtt en, egal ob een en liest oder net.

Limitéiert, wat eng erfollegräich Umeldung erreeche kann

Den VPN-Adapter sollt an engem Firewallprofil landen, deen déng vun där Roll gebrauchten Servicer erlaabt an net dat ganzt Subnetz. D'Routefro ass getrennt vum Filteren. En vollt Tunnel schützt den Apparat vum Client a schéckt all Byte iwwer Är Upstreamverbindung, wärend en gesplittent Tunnel de lokalen Traffic lokal hält an den Apparat dem Netzwierk aussetzt, op deem en sech just befënnt.

Keng vun den zwou Optiounen ass e Sécherheetsstandard. Béid musse niewent dem Firewallprofil opgeschriwwe ginn, dee se unhuelen.

Verifizéiert d'Feelerweeër

Test dat, wat soll briechen: e falscht Passwuert, en ofgelafene Zertifikat, en zréckgezunn Apparat, e Benotzer ausserhalb vun der Grupp. All sollt op enger anerer Plaz scheiteren, an de Log sollt soen, wéi eng et war. Fiert de Set als éischt op engem Testkont aus, widderhëlt en duerno fir e richtege Benotzer. Eng Oflehnung, déi ouni Grond an den Eventlog geréit, ass et wäert, se vill méi fréi ze korrigéieren, wéi Dir déi Opzeechnung braucht.

Bestätegt duerno, wéi eng Porte publizéiert sinn a firwat. PPTP brauch TCP 1723 a GRE als IP-Protokoll an net als Port, IKEv2 brauch UDP 500 an 4500, an L2TP brauch UDP 1701 plus IPsec. Eng Verwaltungsinterface exponéieren, dass e Client sech verbënnt, ass keng Reparatur, et ass en zweeten Incident, deen drop waart, entdeckt ze ginn.

Zum Schluss decidéiert, wat de Server opzeechent a wéi laang. En Endpunkt ouni Authentifikatiounsgeschicht kann déi éischt Fro no engem Incident net beäntwerten, nämlech ob den Versuch iwwerhaapt autoriséiert war.