Windows VPN nostiprināšana: vispirms izlabojiet autentifikāciju, tad tuneli

Jūsu Windows VPN serveris prasa lietotājvārdu un paroli, un šis vienīgais dialogs slēpj trīs nesaistītus pienākumus. Viens pierāda, kas ir cilvēks, otrs neļauj tam, kurš novēro līniju, atkārtoti izmantot šo pierādījumu, bet trešais izlemj, kurām adresēm viņš pēc tam var piekļūt. Lielākā daļa mazo ieviešanu vispirms nostiprina tuneli un atstāj pirmos divus pienākumus noklusējuma vērtībās, un tā ir nepareizā secība.

Strādājiet tādā secībā, kādā strādā uzbrucējs. Vispirms tas, ko var noķert no līnijas. Pēc tam tas, ko vēlāk var atkārtot ar šo ierakstu. Beigās tas, ko autentificēts uzbrucējs sasniedz, jau būdams iekšā.

Trīs pienākumi, viens dialogs

Identitāte ir tā daļa, par ko cilvēki domā, un tā ir tikai trešdaļa problēmas. Identitātes pierādījumam jāiztur novērotājs, kurš ieraksta apmaiņu un vēlāk mēģina vēlreiz. Savukārt autorizācija ir atsevišķs lēmums, ko serveris pieņem pēc identitātes noskaidrošanas, un Windows to glabā citā pakalpojumā nekā tajā, kas validē akreditācijas datus.

Kad visi trīs dzīvo vienā prāta spainī, ierastais rezultāts ir serveris, kas spēcīgi autentificē un pēc tam ļauj lietotājam sasniegt visu. To vēlāk izlabot ir grūtāk nekā tagad izlemt politiku, jo līdz tam ugunsmūra profils, adrešu pūls un maršruti jau kodē veco pieņēmumu.

Atdaliet trīs savās piezīmēs, pirms aiztiekat jebkuru iestatījumu, un pēc tam labojiet tos no vājākā posma uz augšu.

Kāpēc MS-CHAPv2 neiztur atkārtošanas testu

Ja serveris joprojām pieņem PPTP ar MS-CHAPv2, tunelis paroli neaizsargā nevienā būtiskā nozīmē. Izaicinājumu un atbildi var noķert un uzbrukt tiem bezsaistē, un 2012. gadā publisks laušanas pakalpojums demonstrēja atjaunošanu no šāda roku sasveicināšanās aptuveni vienā dienā tipiskai parolei. Garāka un sarežģītāka parole paaugstina izmaksas; tā neaizvāc materiālu, kas uzbrucējam nepieciešams no tīkla.

Īpašība, ko vēlaties, ir akreditācijas dati, ko nevar atkārtot. EAP-TLS ar klienta sertifikātiem piešķir katrai ierīcei savu identitāti un ļauj atsaukt tieši vienu ierīci.

Sertifikātu ieviešana ir īsts darbs: privāta CA, atsaukšanas ceļš, ko pārbauda klienti, un atjaunošanas plāns, kas iztur personāla mainību. Uztveriet šo darbu kā projektu, nevis kā šķērsli starp jums un strādājošu tuneli. Plānojiet tam budžetu tā, kā plānotu ugunsmūra nomaiņai. Koplietota parole ir lētāka tikai līdz pirmajai atsaukšanai.

Iepriekš koplietota atslēga autentificē pāri, nevis cilvēku

L2TP/IPsec ar iepriekš koplietotu atslēgu pierāda, ka divi vārteji zina vienu un to pašu noslēpumu. Tas neko nepasaka par to, kurš cilvēks pieslēdzas, un šajā slānī nevar atšķirt vienu darbinieku no cita. Izmantojiet garu nejaušu vērtību, krietni virs desmit rakstzīmēm, ko iesaka dažas rokasgrāmatas, jo ikviens, kas noķer roku sasveicināšanos, var uzbrukt atslēgai bezsaistē.

Katrs šī profila klients dala noslēpumu, tāpēc viena cilvēka izņemšana nozīmē tā pārdali visiem pārējiem. Turiet atsevišķu lietotāja autentifikācijas soli virs mašīnas līmeņa noslēpuma un pārejiet uz sertifikātiem, kad klientu skaits aug. Iepriekš koplietota atslēga kopā ar MS-CHAPv2 ir divi vāji slāņi, un otrais atceļ pirmo.

Autorizācija pieder Network Policy Server

NPS sistēmā Windows izlemj, kas drīkst pieslēgties, un to dara pēc tam, kad autentifikācija jau ir bijusi veiksmīga. Šis atdalījums ir visnoderīgākā nostiprināšanas kontrole produktā, un daudzas ieviešanas to atstāj neskartu.

Izmantojiet politikas nosacījumus, kas atspoguļo reālus ierobežojumus: dalību grupā, laika logu, kad atbalstam ir personāls, un ierīces stāvokli no veselības pārbaudes. Pievienojiet otru faktoru tur, kur dati attaisno berzi, un atcerieties, ka politika tiek novērtēta katram savienojuma mēģinājumam, kas to padara par dzīvu kontroli, nevis dokumentu.

RADIUS uzskaite arī dod vienu ierakstu par to, kas un kad pieslēdzās. Šis žurnāls ir atšķirība starp incidenta izskatīšanu un minējumu, un tas pastāv neatkarīgi no tā, vai kāds to kādreiz lasa.

Ierobežojiet, ko var sasniegt veiksmīga pieteikšanās

VPN adapterim jānokļūst ugunsmūra profilā, kas atļauj tā lomai nepieciešamos pakalpojumus, nevis visu apakštīklu. Maršrutēšanas jautājums ir atsevišķs no filtrēšanas. Pilns tunelis aizsargā klienta ierīci un virza katru baitu pa jūsu augšupceļa līniju, bet sadalīts tunelis vietējo satiksmi patur vietēju un pakļauj ierīci jebkuram tīklam, kurā tā atrodas.

Neviena no abām izvēlēm nav drošības noklusējums. Abas jāpieraksta blakus ugunsmūra profilam, ko tās pieņem.

Pārbaudiet atteices ceļus

Pārbaudiet, kam vajadzētu salūzt: nepareiza parole, beidzies sertifikāts, atsaukta ierīce, lietotājs ārpus grupas. Katram vajadzētu neizdoties citā punktā, un žurnālam jāpasaka, kurš tas bija. Vispirms palaidiet kopumu ar testa kontu, tad atkārtojiet ar īstu lietotāju. Noraidījums, kas bez iemesla nonāk notikumu žurnālā, ir pelnījis labojumu daudz agrāk, nekā jums būs vajadzīgs šis ieraksts.

Pēc tam apstipriniet, kuri porti ir publicēti un kāpēc. PPTP nepieciešams TCP 1723 un GRE kā IP protokols, nevis ports, IKEv2 nepieciešams UDP 500 un 4500, bet L2TP nepieciešams UDP 1701 un IPsec. Pārvaldības saskarnes atvēršana, lai klients varētu pieslēgties, nav labojums, tas ir otrs incidents, kas gaida atklāšanu.

Beigās izlemiet, ko serveris ieraksta un cik ilgi. Galapunkts bez autentifikācijas vēstures nevar atbildēt uz pirmo jautājumu pēc incidenta, proti, vai mēģinājums kādreiz bija autorizēts.