RouterOS OpenVPN, NPS: auth അല്ല, user-auth-method സജ്ജീകരിക്കുക

RouterOS-ന് OpenVPN ലോഗിൻ ഉപയോഗിച്ച് NPS-ൽ എത്തിയിട്ടും നിരസിക്കപ്പെടാം, സാധാരണ കാരണം രണ്ട് ക്രമീകരണങ്ങളാണ്, അവയുടെ പേരുകൾ രണ്ടും ആധികാരികതയുടെ പോലെ തോന്നുന്നു. ഒന്ന് ടണലിന് ക്രിപ്റ്റോഗ്രാഫിക് ഡൈജസ്റ്റ് തിരഞ്ഞെടുക്കുന്നു; മറ്റൊന്ന് ഉപയോക്താവിന്റെ ക്രെഡൻഷ്യലുകൾ RADIUS-ന് എങ്ങനെ സമർപ്പിക്കാമെന്ന് തീരുമാനിക്കുന്നു. ഡൈജസ്റ്റ് മാറ്റുന്നത് PAP അഭ്യർത്ഥനയെ ഒരിക്കലും MS-CHAPv2 ആക്കില്ല, സേവനം എത്ര തവണ പുനരാരംഭിച്ചാലും. ചുവടെയുള്ള ചെക്ക്ലിസ്റ്റ് രണ്ടിനെയും വേർതിരിച്ച്, പിന്നീട് ഒരു പരാജയപ്പെട്ട ലോഗിൻ അതിനെ വിലയിരുത്തിയ NPS നയത്തിലൂടെ പിന്തുടരുന്നു.

ഘട്ടം 1: ഏതെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് രണ്ട് ക്രമീകരണങ്ങളും വായിക്കുക

ടണൽ അവസാനിപ്പിക്കുന്ന റൂട്ടറിൽ ഫലപ്രദമായ OpenVPN സെർവർ കോൺഫിഗറേഷൻ പ്രിന്റ് ചെയ്യുക, ബാക്കപ്പിൽ നിന്നോ പകർത്തിയ ഫോറം പോസ്റ്റിൽ നിന്നോ അല്ല. നിങ്ങൾക്ക് പ്രധാനമായ രണ്ട് ഫീൽഡുകൾ സാധാരണയായി ഒരേ മെനുവിലാണ്, ബദലുകളെപ്പോലെ വായിക്കപ്പെടുന്നു. അവ ബദലുകളല്ല: ഒന്ന് ഡാറ്റ ചാനലിനെക്കുറിച്ച്, മറ്റൊന്ന് ക്രെഡൻഷ്യലുകളുടെ കൈമാറ്റത്തെക്കുറിച്ച്.

/interface ovpn-server server print
/interface ovpn-server server export

auth ഫീൽഡ് sha1, sha256 പോലുള്ള ഡൈജസ്റ്റുകൾ പട്ടികപ്പെടുത്തുകയും ടണൽ പാക്കറ്റുകൾ ആധികാരികമാക്കുന്ന HMAC നിയന്ത്രിക്കുകയും ചെയ്യുന്നു. user-auth-method ഫീൽഡ് pap അല്ലെങ്കിൽ mschap2 തിരഞ്ഞെടുക്കുകയും റൂട്ടർ ഉപയോക്താവിന്റെ ക്രെഡൻഷ്യലുകൾ RADIUS-ന് എങ്ങനെ സമർപ്പിക്കുമെന്ന് തീരുമാനിക്കുകയും ചെയ്യുന്നു. ഡൈജസ്റ്റ് മാറ്റം രണ്ടാമത്തെ സ്വഭാവം മാറ്റാൻ കഴിയില്ല, അതിനാൽ അതേ നിരസിക്കൽ ആദ്യത്തേതിൽ ഓരോ ക്രമീകരണത്തിനും ശേഷവും നിലനിൽക്കുന്നു.

നിങ്ങളുടെ റിലീസ് user-auth-method പൂർണ്ണമായും വെളിപ്പെടുത്തുന്നില്ലെങ്കിൽ ഇവിടെ നിർത്തുക. പഴയ RouterOS ബിൽഡുകൾ ഇത് OpenVPN സെർവറിൽ വാഗ്ദാനം ചെയ്തേക്കില്ല, പരിഹാരം നിങ്ങൾക്ക് പിന്തുണയ്ക്കാവുന്ന റിലീസിലാണ്, പുതിയതിൽ നിന്ന് പകർത്തിയ കമാൻഡിലല്ല.

ഘട്ടം 2: ലോഗിൻ യഥാർത്ഥത്തിൽ നിരസിച്ച നയം കണ്ടെത്തുക

NPS ഭാഗത്ത്, ഒരു കണക്ഷൻ അഭ്യർത്ഥന നെറ്റ്വർക്ക് നയങ്ങൾക്കെതിരെ വിലയിരുത്തപ്പെടുന്നു, ഒത്തുപോകുന്ന നയത്തിൽ പേരിട്ടിരിക്കുന്ന ആധികാരികതാ രീതി ക്ലയന്റ് യഥാർത്ഥത്തിൽ വാഗ്ദാനം ചെയ്ത ഒന്നായിരിക്കണം. സംഗ്രഹ എണ്ണം വായിക്കുന്നതിന് പകരം ഒരു പരാജയപ്പെട്ട ലോഗിൻ സമയവും ഉപയോക്താവും അനുസരിച്ച് ബന്ധിപ്പിക്കുക. സുരക്ഷാ ലോഗ് അനുവദിച്ചതും നിരസിച്ചതുമായ അഭ്യർത്ഥനകൾ കാരണ കോഡോടെ രേഖപ്പെടുത്തുന്നു, അത് റൂട്ടറിന്റെ പൊതുവായ പരാജയ വരിയേക്കാൾ ഏറെ പറയുന്നു.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

ഇവന്റിൽ മൂന്ന് കാര്യങ്ങൾ വായിക്കുക: ഒത്തുപോകുന്ന നയത്തിന്റെ പേര്, ആധികാരികതാ രീതി, കാരണ കോഡ്. MS-CHAPv2 ആവശ്യപ്പെടുന്ന നയം പാസ്വേഡ് ശരിയാണെങ്കിലും PAP അഭ്യർത്ഥന നിരസിക്കുന്നു, ഡൊമെയ്ൻ അക്കൗണ്ട് ആവശ്യപ്പെടുന്ന നയം ലോക്കൽ അക്കൗണ്ട് നിരസിക്കുന്നു. RADIUS ക്ലയന്റ് എൻട്രിയും റൂട്ടറിന്റെ ഉറവിട വിലാസവുമായി ഒത്തുപോകണം, അല്ലെങ്കിൽ ഏതെങ്കിലും നയം പരിശോധിക്കുന്നതിന് മുമ്പ് അഭ്യർത്ഥന ഉപേക്ഷിക്കപ്പെടുന്നു. അവയൊന്നും OpenVPN ലോഗിൽ കാണുന്നില്ല.

അഭ്യർത്ഥന NPS-ൽ എത്തുന്നില്ലെങ്കിൽ ഇവിടെ നിർത്തുക. അത് പങ്കിട്ട രഹസ്യം, ക്ലയന്റ് വിലാസം അല്ലെങ്കിൽ UDP 1812 പ്രശ്നമാണ്, ആധികാരികതാ രീതികൾ മാറ്റുന്നത് അത് പരിഹരിക്കില്ല.

ഘട്ടം 3: ഇരുവശത്തും ഒരു രീതി മാറ്റുക

അംഗീകരിച്ച രൂപകൽപ്പന MS-CHAPv2 ആണെങ്കിൽ, അത് റൂട്ടറിൽ സജ്ജീകരിച്ച് ഒത്തുപോകുന്ന നയം അത് സ്വീകരിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. ഒരു വശം മാറ്റി വീണ്ടും പരിശോധിച്ച്, പിന്നീട് മറ്റേത് മാറ്റുക; രണ്ടും ഒരുമിച്ച് മാറ്റിയാൽ ഏതാണ് പ്രധാനമായിരുന്നതെന്ന് പറയാൻ കഴിയില്ല.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

പിശക് അപ്രത്യക്ഷമാകാൻ NPS-ൽ ഓരോ ദുർബല രീതിയും പ്രവർത്തനക്ഷമമാക്കരുത്. ബാക്കെൻഡിൽ തിരഞ്ഞെടുത്ത രീതിക്ക് പരിശോധിക്കാവുന്ന വസ്തു ഉണ്ടായിരിക്കണം: MS-CHAPv2-ന് പാസ്വേഡിലേക്കോ ഡൊമെയ്നിലേക്കോ പ്രവേശനം വേണം, നയത്തിന് ആ വസ്തു കണ്ടുപിടിക്കാൻ കഴിയില്ല. നയം വിശാലമാക്കുന്നത് അതേ അക്കൗണ്ടിനെതിരെ ആക്രമണകാരിക്ക് ശ്രമിക്കാവുന്നതും വിശാലമാക്കുന്നു. രീതി, നയത്തിന്റെ പേര്, മാറ്റ റഫറൻസ് എന്നിവ ഒരുമിച്ച് രേഖപ്പെടുത്തുക, അടുത്ത വ്യക്തിക്ക് ഊഹമല്ല, തീരുമാനം പാരമ്പര്യമായി ലഭിക്കാൻ.

ടണലിന്റെ സർട്ടിഫിക്കറ്റ് സാധുതാ പരിശോധന മുമ്പുണ്ടായിരുന്നതുപോലെ തന്നെ വയ്ക്കുക. ക്രെഡൻഷ്യൽ രീതി സെർവർ ഐഡന്റിറ്റിക്ക് പകരമല്ല, പരീക്ഷ പാസാകാൻ TLS പരിശോധനകൾ താഴ്ത്തുന്നത് ഒരു പ്രശ്നത്തെ മോശമായ ഒന്നുമായി മാറ്റുന്നു.

ഘട്ടം 4: മൂന്ന് ലോഗിനുകളും ഒരു അനുമതിയും പരിശോധിക്കുക

അനുവദിച്ച ഉപയോക്താവ്, തെറ്റായ പാസ്വേഡ്, ഒഴിവാക്കപ്പെട്ട ഉപയോക്താവ് എന്നിവരെ ഓരോരുത്തരെയും പുതിയ സെഷനിൽ പരിശോധിക്കുക. ആദ്യത്തേത് പാത തെളിയിക്കുന്നു, രണ്ടാമത്തേത് ക്രെഡൻഷ്യൽ പരിശോധന യഥാർത്ഥമാണെന്ന് തെളിയിക്കുന്നു, മൂന്നാമത്തേത് നയം ഇപ്പോഴും ഒഴിവാക്കേണ്ടവരെ ഒഴിവാക്കുന്നുവെന്ന് തെളിയിക്കുന്നു. കാഷെ ചെയ്ത സെഷന് മൂന്നിനെയും മറയ്ക്കാം, അതിനാൽ ശ്രമങ്ങൾക്കിടയിൽ വിച്ഛേദിക്കുക.

/log print where topics~"ovpn"
/radius monitor 0

വിജയകരമായ ആധികാരികത ചെക്ക്ലിസ്റ്റിന്റെ അവസാനമല്ല. ക്ലയന്റിന് ലഭിച്ച വിലാസവും ആ വിലാസത്തിന് എത്താൻ കഴിയുന്ന വിഭവങ്ങളും പരിശോധിക്കുക, കാരണം ഉപയോക്താവ് ശരിയായി ആധികാരികമായിട്ടും തെറ്റായ പൂളിൽ വീഴാം. അനുവദിച്ച വിലാസം തെറ്റാണെങ്കിൽ, പ്രശ്നം രീതിയിലല്ല, പ്രൊഫൈലിലോ RADIUS പ്രതികരണ ഗുണങ്ങളിലോ ആണ്. ടിക്കറ്റ് അടയ്ക്കുന്നതിന് മുമ്പ് രണ്ടും ഉറപ്പാക്കുക.

റൂട്ടർ ക്രമീകരണവും NPS നയവും ഒരേ രീതി പേരിടുമ്പോൾ, അനുവദിച്ച ഉപയോക്താവ് പുതിയ സെഷനോടെ ബന്ധിപ്പിക്കുമ്പോൾ, തെറ്റായ പാസ്വേഡ് നിരസിക്കപ്പെടുമ്പോൾ, ഒഴിവാക്കപ്പെട്ട ഉപയോക്താവ് ഒഴിവാക്കപ്പെട്ടു തന്നെ നിൽക്കുമ്പോൾ, അനുവദിച്ച വിലാസം ഉദ്ദേശിച്ച പൂളുമായി ഒത്തുപോകുമ്പോൾ ചെക്ക്ലിസ്റ്റ് പൂർത്തിയാകുന്നു. അതിൽ കുറവ് അടുത്ത ലോഗിൻ യാദൃച്ഛികതയ്ക്ക് വിടുന്നു.