PPTP/MS-CHAPv2 izbeigšana: veca VPN rokasgrāmata

Divdesmit rakstzīmju paroles, kas katru mēnesi tiek mainītas un glabājas seifā, nepārvērš PPTP serveri ar MS-CHAPv2 par modernu VPN. Parole ir apmaiņas ievade, kuras vājums ir pašā apmaiņā. Šī rokasgrāmata ir tam, kurš šo serveri mantojis un kuram lietotāji jāpārceļ, nenogriežot vietni, kas no tā atkarīga. Veiciet soļus secīgi, jo katrs atstāj ierakstu, kas būs vajadzīgs, kad kāds jautās, kāpēc piekļuve pēkšņi mainījās.

Pierakstiet slāņus, pirms kam pieskaraties

Trīs slāņi tiek sablīvēti vārdā PPTP, un katrs neizdodas savā veidā. Tunelis ir pats PPTP, GRE plus TCP 1723. Autentifikācija ir tā PPP metode, ko serveris piedāvā, šeit MS-CHAPv2. Saites aizsardzība ir MPPE, kuras atslēgas tiek atvasinātas no šīs autentifikācijas apmaiņas. Visu trīs nosaukšana neļauj vēlākam labojumam nonākt nepareizajā slānī.

Lasiet dzīvo konfigurāciju, nevis uzticieties viki lapai, un pierakstiet failu, klausītāju un pēdējās autentificētās sesijas.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows attālinātās piekļuves lomā tas pats inventārs nāk no divām komandām, un otrā ir svarīga, jo loma var vienlaikus reklamēt vairākas metodes, kamēr lauka klienti vienmēr vienojas tikai par vājāko.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Izlemiet, ko tunelis šodien patiešām pārvadā

Uzskaitiet lietotājus pirms aizstājēja izvēles: ceļojošie portatīvie datori, filiāles maršrutētājs, maksājumu terminālis, lauka planšetdatoru komplekts. Lietotāju, kuram jāsasniedz tikai viens iekšējais resursdators, ir viegli pārvietot. Lietotājam, kas iegults aparatūrā, kuru nevarat pārrakstīt, var būt vajadzīgs starpposma vārteja klienta atjauninājuma vietā, un šis lēmums pieder plānam, nevis pārejas vidum.

Pēc tam jautājiet, ko iegūtu uzbrucējs, kurš var novērot pieteikšanās apmaiņu vai to ietekmēt. Ar MS-CHAPv2 atbilde ietver materiālu, kas ļauj bezsaistē atgūt lietotāja paroli, un tieši tāpēc garums un rotācija neizlabo dizainu: atgūtais noslēpums ir derīgs katrā sistēmā, kur lietotājs to izmantoja atkārtoti.

MPPE manto to pašu vājumu, jo tās atslēgas nāk no šīs apmaiņas, un tā nedod jums modernā AEAD šifra integritāti katram paketam un atkārtošanas uzvedību. Sesija, kas autentificējas tīri, ir pierādījusi tikai saderību ar konfigurētajām pārbaudēm un neko vairāk.

Ne īss pusdienu pārtraukums, ne mazs lietotāju skaits nepārvērš kriptogrāfisku īpašību par politikas īpašību.

Veiciet migrāciju vienā apkopes logā

Uzstādiet aizstājēju, pierādiet to ar vienu pilotgrupu un pēc tam apturiet veco klausītāju, nevis atstājiet to kā klusu rezerves variantu. Rezerves variants, kuram vēl joprojām var piekļūt ikviens, nav migrācija, un tas tur vājo apmaiņu atvērtu tieši tiem lietotājiem, kuri nekad nepūlas pāriet.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Tajā pašā logā aizveriet ugunsmūra ceļu. GRE nav porta, kas jāatceras, tāpēc noteikums, kas atļauj protokolu ar numuru 47, viegli tiek palaists garām un atstāj pakalpojumu sasniedzamu arī pēc tam, kad dēmons ir prom. Pierakstiet noņemto noteikumu, tā iepriekšējo pozīciju un iemeslu, lai vēlāka izmaiņu pārskatīšana to nejauši neatjaunotu.

Akreditācijas datus apstrādājiet atsevišķi no konfigurācijas. Klienta profila noņemšana nav atsaukšana, un konts, kas citur vēl autentificējas, nav izņemts no lietošanas.

Pārbaudiet, vai aizstājējs veic darbus, ko veica PPTP

Kontrollapa nav „vai tas pieslēdzas“. Tā ir, vai autentifikācija, adrešu piešķiršana, DNS atrisināšana, maršruta izvēle, atkārtotas pieslēgšanās uzvedība un partnera pārbaude joprojām pastāv ar aizstājēju. Pārbaudiet katru pilotierīcē, šajā secībā, un pierakstiet novēroto rezultātu blakus gaidītajam.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Adrese saskarnē pierāda, ka pārrunas ir pabeigtas. Tā nepierāda, ka tālā puse ir atļāvusi gaidīto maršrutu, un iepriekšējais vaicājums atbild tikai par šo resursdatoru, nevis par pārsūtīto LAN. Atrisinātāja atbilde pierāda atrisinātāja sasniedzamību, nevis to, ka sadalītā DNS politika sūta turp pareizos nosaukumus.

Atkārtotu pieslēgšanos pārbaudiet pēdējo, jo tur vairums aizstājēju regresē: ieslēdziet portatīvo miega režīmā, nomainiet tīklus un apstipriniet, ka tunelis atjaunojas, neatstājot novecojušus maršrutus.

Atritināšana, atsaukšana un atstātais ieraksts

Atritināšana atjauno pakalpojumu; tā neatjauno drošību, un šī atšķirība jāpasaka skaļi pirms loga atvēršanas. Ja jaunais ceļš neizdodas, atvediet lietotājus atpakaļ caur otru modernu galapunktu vai pagaidu vārteju, nevis atkal ieslēdzot PPTP visiem. Viena avārijas ceļa paturēšana vecajā protokolā paplašina iedarbību, ko tikko dokumentējāt.

Pēc pārejas atsauciet kontus, kas autentificējās caur PPTP, ļaujiet to saglabātajiem profiliem beigties un apstipriniet, ka GRE noteikums ir pazudis no katras malas ierīces, ieskaitot katastrofu atkopšanas kopiju, ko neviens neatceras.

Atstājiet īsu ierakstu: atrastos protokolus, katra klausītāja apstāšanās datumu, aizstājēja atbalstītās klienta versijas un īpašnieku, kas var atkārtoti atvērt lēmumu. Paroļu higiēna pēc tam joprojām ir svarīga, taču kā higiēna protokolā, kas to pelnījis, nevis kā arguments vecā uzturēšanai dzīvē.