RouterOS OpenVPN un NPS: iestatiet user-auth-method, nevis auth

RouterOS vidē auth izvēlas tuneļa kopsavilkumu, bet user-auth-method nosaka, kā tiek pārbaudīts RADIUS pieprasījums. Saskaņojiet otro ar NPS politiku.

RouterOS var sasniegt NPS ar OpenVPN pieteikšanos un tomēr tikt noraidīts, un parastais iemesls ir divi iestatījumi, kuru nosaukumi abi izklausās pēc autentifikācijas. Viens izvēlas kriptogrāfisku tuneļa kopsavilkumu; otrs nosaka, kā lietotāja akreditācijas dati tiek pasniegti RADIUS. Kopsavilkuma maiņa nekad nepārvērsīs PAP pieprasījumu par MS-CHAPv2, lai cik reižu pakalpojums tiktu restartēts. Zemāk esošais kontrolsaraksts atdala abus un pēc tam izseko vienu neveiksmīgu pieteikšanos caur NPS politiku, kas to novērtēja.

1. solis: izlasiet abus iestatījumus pirms jebkura maiņas

Izdrukājiet spēkā esošo OpenVPN servera konfigurāciju maršrutētājā, kas izbeidz tuneli, nevis no dublējuma vai kopēta foruma ieraksta. Abi jūs interesējošie lauki parasti atrodas vienā izvēlnē un tiek lasīti tā, it kā tie būtu alternatīvas. Tie nav: viens attiecas uz datu kanālu, otrs uz akreditācijas datu apmaiņu.

/interface ovpn-server server print
/interface ovpn-server server export

Lauks auth uzskaita kopsavilkumus, piemēram, sha1 un sha256, un kontrolē HMAC, kas autentificē tuneļa paketes. Lauks user-auth-method izvēlas pap vai mschap2 un nosaka, kā maršrutētājs pasniedz lietotāja akreditācijas datus RADIUS. Kopsavilkuma maiņa nevar mainīt otro uzvedību, tāpēc tā pati noraidīšana saglabājas pēc katra pirmā pielāgojuma.

Apstājieties šeit, ja jūsu laidienā user-auth-method vispār nav pieejams. Vecākas RouterOS būves to var nepiedāvāt OpenVPN serverī, un labojums pieder laidienam, kuru varat atbalstīt, nevis komandai, kas nokopēta no jaunāka.

2. solis: atrodiet politiku, kas patiešām noraidīja pieteikšanos

NPS pusē savienojuma pieprasījums tiek novērtēts pret tīkla politikām, un atbilstošajā politikā nosauktajai autentifikācijas metodei jābūt vienai no tām, ko klients patiešām piedāvāja. Saistiet vienu neveiksmīgu pieteikšanos pēc laika un lietotāja, nevis lasiet kopsavilkuma skaitu. Drošības žurnāls reģistrē atļautos un noraidītos pieprasījumus ar iemesla kodu, kas pasaka daudz vairāk nekā maršrutētāja vispārīgā kļūdas rinda.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Notikumā izlasiet trīs lietas: atbilstošās politikas nosaukumu, autentifikācijas metodi un iemesla kodu. Politika, kas prasa MS-CHAPv2, noraida PAP pieprasījumu pat tad, ja parole ir pareiza, un politika, kas prasa domēna kontu, noraida lokālo. RADIUS klienta ierakstam arī jāatbilst maršrutētāja avota adresei, citādi pieprasījums tiek izmests pirms jebkuras politikas izskatīšanas. Nekas no tā neparādās OpenVPN žurnālā.

Apstājieties šeit, ja pieprasījums nekad nesasniedz NPS. Tā ir kopīgas slepenās atslēgas, klienta adreses vai UDP 1812 problēma, un autentifikācijas metožu maiņa to nelabos.

3. solis: mainiet vienu metodi abās pusēs

Ja apstiprinātais dizains ir MS-CHAPv2, iestatiet to maršrutētājā un apstipriniet, ka atbilstošā politika to pieņem. Mainiet vienu pusi, pārbaudiet vēlreiz, pēc tam mainiet otru; mainot abas uzreiz, jūs vairs nevarēsit pateikt, kura bija svarīga.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Neieslēdziet NPS visas vājākās metodes, lai kļūda pazustu. Aizmugurei jābūt materiālam, ko izvēlētā metode var pārbaudīt: MS-CHAPv2 nepieciešama piekļuve parolei vai domēnam, un politika nevar izdomāt šo materiālu. Politikas paplašināšana paplašina arī to, ko uzbrucējs var izmēģināt pret to pašu kontu. Pierakstiet metodi, politikas nosaukumu un izmaiņu atsauci kopā, lai nākamais cilvēks mantotu lēmumu, nevis minējumu.

Atstājiet tuneļa sertifikāta validāciju tieši tādu, kāda tā bija. Akreditācijas datu metode neaizstāj servera identitāti, un TLS pārbaužu pazemināšana, lai tests izietu, vienu problēmu nomaina pret sliktāku.

4. solis: pārbaudiet trīs pieteikšanās un vienu atļauju

Pārbaudiet atļautu lietotāju, nepareizu paroli un izslēgtu lietotāju, katru jaunā sesijā. Pirmais pierāda ceļu, otrais pierāda, ka akreditācijas datu pārbaude ir īsta, bet trešais pierāda, ka politika joprojām izslēdz tos, kuri jāizslēdz. Kešatmiņā saglabāta sesija var paslēpt visus trīs, tāpēc atvienojieties starp mēģinājumiem.

/log print where topics~"ovpn"
/radius monitor 0

Veiksmīga autentifikācija nav kontrolsaraksta beigas. Pārbaudiet adresi, ko klients saņēma, un resursus, kurus šī adrese var sasniegt, jo lietotājs var autentificēties pareizi un tomēr nonākt nepareizajā baseinā. Ja piešķirtā adrese ir nepareiza, problēma ir profilā vai RADIUS atbildes atribūtos, nevis metodē. Apstipriniet abus pirms biļetes aizvēršanas.

Kontrolsaraksts ir pabeigts, kad maršrutētāja iestatījums un NPS politika nosauc vienu un to pašu metodi, atļauts lietotājs savienojas jaunā sesijā, nepareiza parole tiek noraidīta, izslēgts lietotājs paliek izslēgts un piešķirtā adrese atbilst paredzētajam baseinam. Viss mazāk atstāj nākamo pieteikšanos nejaušībai.

Saistītie raksti