Зајакнување на Windows VPN: поправете ја автентикацијата пред тунелот

Вашиот Windows VPN сервер бара корисничко име и лозинка, и тој единствен дијалог крие три неповрзани задачи. Една докажува кој е човекот, една спречува некој што ја набљудува мрежата да го искористи тој доказ повторно, а една одлучува до кои адреси смее да стигне потоа. Повеќето мали распоредувања прво го зајакнуваат тунелот и ги оставаат првите две задачи на нивните стандардни вредности, што е погрешен редослед.

Работете по редоследот по кој работи напаѓачот. Прво она што може да се фати од мрежата. Потоа она што може подоцна да се репродуцира со тој запис. На крајот, она до што автентициран напаѓач може да стигне откако ќе влезе внатре.

Три задачи, еден дијалог

Идентитетот е делот за кој луѓето размислуваат, и тој е само третина од проблемот. Доказот за идентитет мора да издржи набљудувач што ја снима размената и подоцна повторно се обидува. А авторизацијата е одделна одлука што серверот ја носи откако идентитетот е утврден, и Windows ја чува во друга услуга од онаа што ги проверува акредитивите.

Кога сите три живеат во една мисловна кофа, вообичаениот исход е сервер што силно автентицира и потоа му дозволува на корисникот да стигне до сето. Да се поправи тоа подоцна е потешко отколку сега да се одлучи политиката, зашто до тогаш профилот на огнениот ѕид, базенот со адреси и рутите веќе ја кодираат старата претпоставка.

Одделете ги трите во вашите белешки пред да допрете било какво поставување, потоа поправете ги од најслабата алка нагоре.

Зошто MS-CHAPv2 не издржува тест на репродукција

Ако серверот се уште прифаќа PPTP со MS-CHAPv2, тунелот не ја штити лозинката во ниту една суштинска смисла. Предизвикот и одговорот можат да се фатат и да се нападнат вон мрежа, а во 2012 година јавна служба за пробивање покажа враќање од такво ракување за околу еден ден за типична лозинка. Подолга и посложена лозинка ја зголемува цената; таа не го отстранува материјалот што на напаѓачот му е потребен од мрежата.

Својството што го сакате е акредитив што не може да се репродуцира. EAP-TLS со клиентски сертификати му дава на секој уред сопствен идентитет и ви овозможува да отповикате точно еден уред.

Распоредувањето сертификати е вистинска работа: приватна CA, пат за отповикување што клиентите го проверуваат и план за обновување што го преживува менувањето на персоналот. Третирајте ја таа работа како проект, а не како пречка помеѓу вас и тунел што работи. Предвидете буџет за неа како што би предвиделе за замена на огнен ѕид. Споделената лозинка е поевтина само до првото отповикување.

Однапред споделениот клуч го автентицира парот, не човекот

L2TP/IPsec со однапред споделен клуч докажува дека два порти го знаат истиот таен податок. Тој ништо не кажува за тоа кој човек се поврзува и не може на тој слој да разликува еден вработен од друг. Користете долга случајна вредност, многу над десетте знаци што ги предлагаат некои водичи, зашто секој што ќе го фати ракувањето може вон мрежа да го нападне клучот.

Секој клиент на тој профил го споделува тајниот податок, па отстранувањето на еден човек значи негово повторно распределување на сите што остануваат. Држете одделен чекор за автентикација на корисник над тајниот податок на ниво на машина и преминете на сертификати како што расте бројот на клиенти. Однапред споделен клуч во комбинација со MS-CHAPv2 се два слаби слоја, а вториот го поништува првиот.

Авторизацијата припаѓа во Network Policy Server

NPS во Windows одлучува кој смее да се поврзе, и тоа го прави откако автентикацијата веќе успеала. Тоа разделување е најкорисната контрола за зајакнување во производот, и многу распоредувања ја оставаат недопрена.

Користете услови на политика што одразуваат вистински ограничувања: членство во група, временскиот прозорец кога поддршката е со персонал и состојбата на уредот од здравствена проверка. Додадете втор фактор таму каде што податоците го оправдуваат триењето, и запомнете дека политиката се оценува за секој обид за поврзување, што ја прави жива контрола, а не документ.

RADIUS сметководството исто така ви дава еден запис за тоа кој се поврзал и кога. Тој дневник е разликата помеѓу преглед на инцидент и претпоставка, и постои без оглед дали некој некогаш го чита.

Ограничете до што може да стигне успешното најавување

VPN адаптерот треба да слета во профил на огнен ѕид што ги дозволува услугите потребни за неговата улога, а не целата подмрежа. Прашањето за рутирањето е одделно од филтрирањето. Полн тунел го штити клиентскиот уред и го турка секој бајт низ вашата нагорна врска, додека поделен тунел го задржува локалниот сообраќај локален и го изложува уредот на која и да е мрежа во која се наоѓа.

Ниту еден од двата избора не е стандардна безбедносна поставка. И двата треба да се запишат до профилот на огнениот ѕид што го претпоставуваат.

Проверете ги патеките на неуспех

Тестирајте што треба да се скрши: погрешна лозинка, истечен сертификат, отповикан уред, корисник надвор од групата. Секој треба да не успее на различно место, а дневникот треба да каже кој бил. Пуштете го сетот прво на тест-сметка, потоа повторете го за вистински корисник. Одбивање што без причина завршува во дневникот на настани вреди да се поправи многу пред да ви треба тој запис.

Потоа потврдете кои порти се објавени и зошто. PPTP бара TCP 1723 и GRE како IP протокол, а не порта, IKEv2 бара UDP 500 и 4500, а L2TP бара UDP 1701 плус IPsec. Откривањето управувачки интерфејс за да се поврзе клиент не е поправка, тоа е втор инцидент што чека да биде откриен.

На крајот одлучете што снима серверот и колку долго. Крајна точка без историја на автентикација не може да одговори на првото прашање по инцидент, имено дали обидот некогаш бил овластен.