PPTP/MS-CHAPv2 atsisakymas: seno VPN vykdymo vadovas

Dvidešimties simbolių slaptažodžiai, kas mėnesį keičiami ir laikomi seife, nepaverčia PPTP serverio su MS-CHAPv2 šiuolaikiniu VPN. Slaptažodis yra mainų įvestis, o jų silpnumas glūdi pačiuose mainuose. Šis vadovas skirtas tam, kuris paveldėjo tą serverį ir turi perkelti naudotojus nuo jo nenutraukdamas svetainės, kuri nuo jo priklauso. Atlikite veiksmus iš eilės, nes kiekvienas palieka įrašą, kurio prireiks, kai kas nors paklaus, kodėl prieiga staiga pasikeitė.

Užsirašykite sluoksnius, prieš ką nors liesdami

Trys sluoksniai suliejami į žodį PPTP, ir kiekvienas žlunga savaip. Tunelis yra pats PPTP, GRE plius TCP 1723. Autentifikacija yra tas PPP metodas, kurį siūlo serveris, čia MS-CHAPv2. Ryšio apsauga yra MPPE, kurios raktai gaunami iš tų autentifikacijos mainų. Visų trijų įvardijimas neleidžia vėlesniam taisymui nusileisti ne tame sluoksnyje.

Skaitykite gyvą konfigūraciją, o ne pasitikėkite viki puslapiu, ir užsirašykite failą, klausytoją bei paskutines autentifikuotas sesijas.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows nuotolinės prieigos rolėje ta pati inventorizacija gaunama iš dviejų komandų, o antroji svarbi, nes rolė gali reklamuoti kelis metodus vienu metu, o lauko klientai visada derasi tik dėl silpniausio.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Nuspręskite, ką tunelis šiandien iš tikrųjų perneša

Išvardykite vartotojus prieš rinkdamiesi pakaitalą: keliaujantys nešiojamieji, filialo maršrutizatorius, mokėjimo terminalas, lauko planšetės. Vartotoją, kuriam reikia pasiekti tik vieną vidinį hostą, lengva perkelti. Vartotojui, įterptam į techninę įrangą, kurios negalite perrašyti, gali prireikti tarpinio šliuzo vietoj kliento atnaujinimo, ir tas sprendimas priklauso planui, o ne perėjimo viduriui.

Tada paklauskite, ką gautų užpuolikas, galintis stebėti prisijungimo mainus ar jiems daryti įtaką. Su MS-CHAPv2 atsakyme yra medžiaga, leidžianti neprisijungus atkurti naudotojo slaptažodį, ir būtent todėl ilgis bei rotacija nepataiso dizaino: atkurtas slaptasis raktas galioja kiekvienoje sistemoje, kur naudotojas jį naudojo pakartotinai.

MPPE paveldi tą patį silpnumą, nes jos raktai ateina iš tų mainų, ir ji nesuteikia šiuolaikinio AEAD šifro integralumo kiekvienam paketui bei pakartojimo elgsenos. Sesija, kuri autentifikuojama švariai, įrodė tik suderinamumą su sukonfigūruotomis patikromis ir nieko daugiau.

Nei trumpa pietų pertrauka, nei mažas naudotojų skaičius nepaverčia kriptografinės savybės politine savybe.

Atlikite migraciją viename techninės priežiūros lange

Pastatykite pakaitalą, įrodykite jį viena bandomąja grupe, o tada sustabdykite seną klausytoją, o ne palikite jį tylia atsargine galimybe. Atsarginė galimybė, kurią visi dar gali pasiekti, nėra migracija, ir ji palieka silpnus mainus prieinamus būtent tiems naudotojams, kurie niekada nepasivargina pereiti.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Tame pačiame lange uždarykite ugniasienės kelią. GRE neturi prievado, kurį reikėtų atsiminti, todėl taisyklė, leidžianti 47 protokolą pagal numerį, lengvai praleidžiama ir palieka paslaugą pasiekiamą net po to, kai demono nebėra. Užrašykite pašalintą taisyklę, jos ankstesnę vietą ir priežastį, kad vėlesnė pakeitimų peržiūra jos netyčia neatkurtų.

Prisijungimo duomenis tvarkykite atskirai nuo konfigūracijos. Kliento profilio pašalinimas nėra atšaukimas, o paskyra, kuri dar autentifikuojama kitur, nebuvo išvesta iš naudojimo.

Patikrinkite, ar pakaitalas atlieka darbus, kuriuos atlikdavo PPTP

Kontrolinis sąrašas nėra „ar prisijungia“. Jis klausia, ar autentifikacija, adresų priskyrimas, DNS sprendimas, maršruto pasirinkimas, prisijungimo atnaujinimo elgsena ir partnerio patikra vis dar galioja su pakaitalu. Išbandykite kiekvieną bandomajame įrenginyje, ta tvarka, ir užrašykite pastebėtą rezultatą šalia lūkesčio.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Adresas sąsajoje įrodo, kad derybos baigtos. Jis neįrodo, kad tolimoji pusė leido lauktą maršrutą, o aukščiau pateikta užklausa atsako tik už šį hostą, ne už persiųstą LAN. Sprendėjo atsakymas įrodo sprendėjo pasiekiamumą, o ne tai, kad skaidomo DNS politika siunčia teisingus vardus.

Prisijungimo atnaujinimą patikrinkite paskutinį, nes ten dauguma pakaitalų regresuoja: užmigdyti nešiojamąjį, pakeisti tinklus ir patvirtinti, kad tunelis atsistato nepalikdamas pasenusių maršrutų.

Grąžinimas, atšaukimas ir paliekamas įrašas

Grąžinimas atkuria paslaugą; jis neatkuria saugumo, ir tą skirtumą reikia pasakyti garsiai prieš atidarant langą. Jei naujasis kelias žlunga, grąžinkite naudotojus per antrą šiuolaikinį galinį tašką ar laikiną šliuzą, o ne vėl įjungdami PPTP visiems. Vieno avarinio kelio palikimas senajame protokole praplečia poveikį, kurį ką tik užfiksavote.

Po perėjimo atšaukite paskyras, kurios autentifikavosi per PPTP, leiskite jų saugomiems profiliams pasibaigti ir patvirtinkite, kad GRE taisyklės nebėra jokiame krašto įrenginyje, įskaitant nelaimių atkūrimo kopiją, kurios niekas neprisimena.

Palikite trumpą įrašą: protokolai, kuriuos radote, kiekvieno klausytojo sustabdymo data, pakaitalo palaikomos kliento versijos ir savininkas, kuris gali vėl atverti sprendimą. Slaptažodžių higiena ir toliau svarbi, bet kaip higiena protokole, kuris to vertas, o ne kaip argumentas palikti senąjį gyvą.