Windows VPN stiprinimas: pirmiausia sutvarkykite autentifikavimą, paskui tunelį

Jūsų Windows VPN serveris prašo naudotojo vardo ir slaptažodžio, ir tas vienas dialogas slepia tris nesusijusias pareigas. Viena įrodo, kas yra žmogus, kita neleidžia tam, kas stebi liniją, pakartotinai panaudoti šio įrodymo, o trečia nusprendžia, kokius adresus jis gali pasiekti vėliau. Dauguma mažų diegimų pirmiausia sustiprina tunelį, o pirmąsias dvi pareigas palieka numatytosiomis reikšmėmis, ir tai yra neteisinga tvarka.

Dirbkite ta tvarka, kuria dirba užpuolikas. Pirmiausia tai, ką galima pagauti iš linijos. Paskui tai, ką vėliau galima atkartoti su tuo įrašu. Galiausiai tai, ką autentifikuotas užpuolikas pasiekia jau būdamas viduje.

Trys pareigos, vienas dialogas

Tapatybė yra ta dalis, apie kurią galvoja žmonės, ir ji tėra trečdalis problemos. Tapatybės įrodymas turi atlaikyti stebėtoją, kuris įrašo mainus ir vėliau bando dar kartą. O autorizacija yra atskiras sprendimas, kurį serveris priima nustačius tapatybę, ir Windows laiko jį kitoje tarnyboje nei toji, kuri tikrina prisijungimo duomenis.

Kai visi trys gyvena viename minties kibire, įprastas rezultatas yra serveris, kuris stipriai autentifikuoja ir tada leidžia naudotojui pasiekti viską. Sutvarkyti tai vėliau yra sunkiau nei dabar nuspręsti politiką, nes iki tol ugniasienės profilis, adresų telkinys ir maršrutai jau koduoja senąją prielaidą.

Atskirkite tris savo užrašuose prieš liesdami bet kokį nustatymą, o tada taisykite juos nuo silpniausios grandies aukštyn.

Kodėl MS-CHAPv2 neatlaiko atkartojimo testo

Jei serveris vis dar priima PPTP su MS-CHAPv2, tunelis neapsaugo slaptažodžio jokia prasminga prasme. Iššūkį ir atsakymą galima pagauti ir atakuoti neprisijungus, o 2012 metais vieša laužymo tarnyba pademonstravo atkūrimą iš tokio rankos paspaudimo maždaug per parą įprastam slaptažodžiui. Ilgesnis ir sudėtingesnis slaptažodis padidina kainą; jis nepašalina medžiagos, kurios užpuolikui reikia iš tinklo.

Savybė, kurios norite, yra prisijungimo duomenys, kurių negalima atkartoti. EAP-TLS su kliento sertifikatais suteikia kiekvienam įrenginiui savo tapatybę ir leidžia atšaukti tiksliai vieną įrenginį.

Sertifikatų diegimas yra tikras darbas: privati CA, atšaukimo kelias, kurį tikrina klientai, ir atnaujinimo planas, atlaikantis darbuotojų kaitą. Laikykite tą darbą projektu, o ne kliūtimi tarp jūsų ir veikiančio tunelio. Skirkite jam biudžetą taip, kaip skirtumėte ugniasienės keitimui. Bendras slaptažodis pigesnis tik iki pirmojo atšaukimo.

Iš anksto bendrinamas raktas autentifikuoja porą, o ne žmogų

L2TP/IPsec su iš anksto bendrinamu raktu įrodo, kad du vartai žino tą pačią paslaptį. Jis nieko nesako apie tai, kuris žmogus jungiasi, ir tame sluoksnyje negali atskirti vieno darbuotojo nuo kito. Naudokite ilgą atsitiktinę reikšmę, gerokai viršijančią dešimt ženklų, kuriuos siūlo kai kurie vadovai, nes kas pagaus rankos paspaudimą, tas gali atakuoti raktą neprisijungęs.

Kiekvienas to profilio klientas dalijasi paslaptimi, todėl vieno žmogaus pašalinimas reiškia jos perskirstymą visiems likusiems. Laikykite atskirą naudotojo autentifikavimo žingsnį virš mašinos lygio paslapties ir pereikite prie sertifikatų, kai klientų skaičius auga. Iš anksto bendrinamas raktas kartu su MS-CHAPv2 yra du silpni sluoksniai, ir antrasis panaikina pirmąjį.

Autorizacija priklauso Network Policy Server

NPS sistemoje Windows nusprendžia, kas gali jungtis, ir tai daro po to, kai autentifikavimas jau pavyko. Tas atskyrimas yra naudingiausia stiprinimo kontrolė produkte, ir daugelis diegimų palieka ją neliestą.

Naudokite politikos sąlygas, atspindinčias tikrus apribojimus: grupės narystę, laiko langą, kai palaikymas turi darbuotojų, ir įrenginio būseną iš sveikatos patikros. Pridėkite antrą veiksnį ten, kur duomenys pateisina trintį, ir atminkite, kad politika vertinama kiekvieno prisijungimo bandymo metu, todėl ji yra gyva kontrolė, o ne dokumentas.

RADIUS apskaita taip pat duoda vieną įrašą, kas ir kada prisijungė. Tas žurnalas yra skirtumas tarp incidento apžvalgos ir spėjimo, ir jis egzistuoja nepriklausomai nuo to, ar kas nors jį kada nors skaito.

Apribokite, ką gali pasiekti sėkmingas prisijungimas

VPN adapteris turėtų atsidurti ugniasienės profilyje, kuriame leidžiamos jo vaidmeniui reikalingos paslaugos, o ne visas potinklis. Maršrutizavimo klausimas atskiras nuo filtravimo. Pilnas tunelis saugo kliento įrenginį ir siunčia kiekvieną baitą per jūsų išėjimo liniją, o skaidytas tunelis vietinį srautą palieka vietiniu ir įrenginį paveikia bet kokiam tinklui, kuriame jis atsiduria.

Nė vienas pasirinkimas nėra saugumo numatytoji reikšmė. Abu reikia užrašyti prie ugniasienės profilio, kurį jie numato.

Patikrinkite nesėkmės kelius

Išbandykite, kas turėtų sulūžti: neteisingas slaptažodis, pasibaigęs sertifikatas, atšauktas įrenginys, naudotojas už grupės ribų. Kiekvienas turėtų nepavykti skirtingame taške, o žurnalas turėtų pasakyti, kuris tai buvo. Pirmiausia paleiskite rinkinį su bandomąja paskyra, tada pakartokite su tikru naudotoju. Atmetimas, kuris be priežasties patenka į įvykių žurnalą, vertas pataisymo gerokai anksčiau, nei jums prireiks to įrašo.

Tada patvirtinkite, kurie prievadai paskelbti ir kodėl. PPTP reikia TCP 1723 ir GRE kaip IP protokolo, o ne prievado, IKEv2 reikia UDP 500 ir 4500, o L2TP reikia UDP 1701 ir IPsec. Valdymo sąsajos atidarymas tam, kad klientas prisijungtų, nėra taisymas, tai antras incidentas, laukiantis atradimo.

Galiausiai nuspręskite, ką serveris įrašo ir kiek laiko. Galinis taškas be autentifikavimo istorijos negali atsakyti į pirmą klausimą po incidento, būtent ar bandymas kada nors buvo autorizuotas.