Отстранување на PPTP/MS-CHAPv2: прирачник за стар VPN

Лозинки од дваесет знаци, што се менуваат месечно и се чуваат во сеф, не го прават серверот PPTP со MS-CHAPv2 современ VPN. Лозинката е влез во размена чија слабост лежи во самата размена. Овој прирачник е за оној што го наследил тој сервер и треба да ги премести корисниците од него без да ја отсече локацијата што зависи од него. Изведете ги чекорите по ред, зашто секој остава запис што ќе ви треба кога некој ќе праша зошто пристапот одеднаш се сменил.

Запишете го стекот пред да допрете нешто

Три слоја се спојуваат во зборот PPTP и секој пропаѓа на свој начин. Тунелот е самиот PPTP, GRE плус TCP 1723. Автентикацијата е оној PPP метод што го нуди серверот, овде MS-CHAPv2. Заштитата на врската е MPPE, чии клучеви се изведуваат од таа автентикациска размена. Именувањето на сите три спречува подоцнежна поправка да слета на погрешен слој.

Читајте ја живата конфигурација наместо да верувате на вики страница, и запишете ја датотеката, слушачот и последните сесии што се автентицирале.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

На улога за далечински пристап на Windows истиот попис доаѓа од две команди, а втората е важна зашто улогата може да рекламира повеќе методи одеднаш, додека клиентите на терен секогаш преговараат само за најслабиот.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Одлучете што тунелот денес навистина пренесува

Наведете ги потрошувачите пред да изберете замена: преносни сметачи во движење, рутер на огранок, платежен терминал, збир теренски табли. Потрошувач што треба да стигне само до еден внатрешен домаќин лесно се преместува. Потрошувач вграден во хардвер што не можете да го препишете може да бара посредна порта наместо надградба на клиентот, и таа одлука припаѓа на планот, не на средината од преминот.

Потоа прашајте што би добил напаѓач што може да ја набљудува размената при најава или да влијае врз неа. Со MS-CHAPv2 одговорот вклучува материјал што овозможува вонмрежно враќање на лозинката на корисникот, и токму затоа должината и ротацијата не го поправаат дизајнот: вратената тајна важи на секој систем каде корисникот ја употребил повторно.

MPPE го наследува истиот недостаток, бидејќи нејзините клучеви доаѓаат од таа размена, и не ви дава интегритет по пакет ниту однесување при повторување како современ AEAD шифра. Сесија што чисто се автентицира докажа само компатибилност со конфигурираните проверки и ништо повеќе.

Ниту кратката пауза за ручек ниту малиот број корисници не претвораат криптографска особина во политичка.

Изведете ја миграцијата во еден прозорец за одржување

Подигнете ја замената, докажете ја со една пилотска група, потоа запрете го стариот слушач наместо да го оставите како тивка резерва. Резервата до која сите уште можат да стигнат не е миграција и ја држи слабата размена достапна токму за оние корисници што никогаш не се трудат да преминат.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Затворете ја патеката низ огнениот ѕид во истиот прозорец. GRE нема порта што треба да се памти, затоа правилото што дозволува протокол 47 по број лесно се пропушта и ја остава услугата достапна дури и откако демонот ќе исчезне. Запишете го отстранетото правило, неговата претходна положба и причината, за да не го врати подоцнежниот преглед на промени случајно.

Акредитивите обработувајте ги одделно од конфигурацијата. Отстранувањето на клиентски профил не е отповикување, а сметката што уште се автентицира на друго место не е повлечена.

Проверете дали замената ги врши работите што ги вршеше PPTP

Контролната листа не е „дали се поврзува“. Таа е дали автентикацијата, доделувањето адреси, разрешувањето DNS, изборот на маршрута, однесувањето при повторно поврзување и проверката на партнерот уште држат под замената. Тестирајте го секое на пилотски уред, по тој ред, и запишете го забележаниот резултат до очекувањето.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Адресата на интерфејсот докажува дека преговорите завршиле. Таа не докажува дека далечната страна ја овластила маршрутата што ја очекувате, а барањето погоре одговара само за овој домаќин, не за проследен LAN. Одговорот на разрешувачот докажува достапност на разрешувач, не дека политиката на поделен DNS ги праќа вистинските имиња таму.

Повторното поврзување проверете го последно, зашто таму повеќето замени регресираат: ставете преносен сметач во сон, сменете мрежи и потврдете дека тунелот се воспоставува повторно без да остави застарени маршрути.

Враќање, отповикување и записот што го оставате

Враќањето го обновува сервисот; не ја обновува безбедноста, и таа разлика треба да се каже гласно пред прозорецот да се отвори. Ако новиот пат пропадне, вратете ги корисниците преку втор современ крајен точка или привремена порта, а не со повторно вклучување на PPTP за сите. Задржувањето на една итна патека на стариот протокол ја проширува изложеноста што штотуку ја документиравте.

По преминот отповикајте ги сметките што се автентицирале преку PPTP, дозволете им на зачуваните профили да истечат и потврдете дека правилото GRE го нема на секој рабен уред, вклучително копијата за обнова од катастрофа што никој не ја памети.

Оставете краток запис: протоколите што ги најдовте, датумот кога секој слушач запре, клиентските верзии што замената ги поддржува и сопственикот што може повторно да ја отвори одлуката. Хигиената на лозинки потоа уште е важна, но како хигиена на протокол што ја заслужува, а не како аргумент стариот да остане жив.