Windows VPN കാഠിന്യപ്പെടുത്തൽ: ടണലിന് മുമ്പ് പ്രാമാണീകരണം ശരിയാക്കുക

നിങ്ങളുടെ Windows VPN സെർവർ ഉപയോക്തൃനാമവും പാസ്വേഡും ആവശ്യപ്പെടുന്നു, ആ ഒരു ഡയലോഗ് മൂന്ന് ബന്ധമില്ലാത്ത ചുമതലകൾ മറയ്ക്കുന്നു. ഒന്ന് വ്യക്തി ആരെന്ന് തെളിയിക്കുന്നു, ഒന്ന് വയർ നിരീക്ഷിക്കുന്ന ആരെങ്കിലും ആ തെളിവ് വീണ്ടും ഉപയോഗിക്കുന്നത് തടയുന്നു, ഒന്ന് പിന്നീട് ഏത് വിലാസങ്ങളിലേക്ക് എത്താമെന്ന് തീരുമാനിക്കുന്നു. ചെറിയ വിന്യാസങ്ങളിൽ ഭൂരിഭാഗവും ആദ്യം ടണൽ കാഠിന്യപ്പെടുത്തി ആദ്യ രണ്ട് ചുമതലകൾ അവയുടെ സ്വതവേയുള്ള മൂല്യങ്ങളിൽ വിടുന്നു, അത് തെറ്റായ ക്രമമാണ്.

ആക്രമണകാരൻ പ്രവർത്തിക്കുന്ന ക്രമത്തിൽ പ്രവർത്തിക്കുക. ആദ്യം വയറിൽ നിന്ന് പിടിച്ചെടുക്കാവുന്നത്. പിന്നീട് ആ റെക്കോർഡിംഗ് ഉപയോഗിച്ച് പിന്നീട് വീണ്ടും പ്ലേ ചെയ്യാവുന്നത്. അവസാനം, പ്രാമാണീകരിച്ച ആക്രമണകാരൻ അകത്ത് കയറിയശേഷം എത്താവുന്നത്.

മൂന്ന് ചുമതലകൾ, ഒരു ഡയലോഗ്

ഐഡന്റിറ്റി എന്നത് ആളുകൾ ചിന്തിക്കുന്ന ഭാഗമാണ്, അത് പ്രശ്നത്തിന്റെ മൂന്നിലൊന്ന് മാത്രം. ഐഡന്റിറ്റിയുടെ തെളിവ് കൈമാറ്റം റെക്കോർഡ് ചെയ്ത് പിന്നീട് വീണ്ടും ശ്രമിക്കുന്ന നിരീക്ഷകനെ അതിജീവിക്കണം. അധികാരം നൽകൽ ഐഡന്റിറ്റി ഉറപ്പിച്ചതിന് ശേഷം സെർവർ എടുക്കുന്ന പ്രത്യേക തീരുമാനമാണ്, Windows അത് ക്രെഡൻഷ്യലുകൾ സാധൂകരിക്കുന്ന സേവനത്തിൽ നിന്ന് വ്യത്യസ്തമായ സേവനത്തിൽ സൂക്ഷിക്കുന്നു.

മൂന്നും ഒരു മാനസിക ബക്കറ്റിൽ കഴിയുമ്പോൾ, സാധാരണ ഫലം ശക്തമായി പ്രാമാണീകരിച്ച് പിന്നീട് ഉപയോക്താവിന് എല്ലാത്തിലേക്കും എത്താൻ അനുവദിക്കുന്ന സെർവറാണ്. അത് പിന്നീട് ശരിയാക്കുന്നത് ഇപ്പോൾ നയം തീരുമാനിക്കുന്നതിനേക്കാൾ ബുദ്ധിമുട്ടാണ്, കാരണം അപ്പോഴേക്കും ഫയർവാൾ പ്രൊഫൈലും വിലാസ പൂളും റൂട്ടുകളും പഴയ അനുമാനം കോഡ് ചെയ്യുന്നു.

ഏതെങ്കിലും ക്രമീകരണം തൊടുന്നതിന് മുമ്പ് മൂന്നും നിങ്ങളുടെ കുറിപ്പുകളിൽ വേർതിരിക്കുക, പിന്നീട് ഏറ്റവും ദുർബലമായ കണ്ണിയിൽ നിന്ന് മുകളിലേക്ക് ശരിയാക്കുക.

MS-CHAPv2 വീണ്ടും-പ്ലേ പരീക്ഷയെ എന്തുകൊണ്ട് അതിജീവിക്കുന്നില്ല

സെർവർ ഇപ്പോഴും MS-CHAPv2-യോടെ PPTP സ്വീകരിക്കുന്നുവെങ്കിൽ, ടണൽ പാസ്വേഡിനെ അർത്ഥവത്തായ ഒരു തരത്തിലും സംരക്ഷിക്കുന്നില്ല. ചലഞ്ചും പ്രതികരണവും പിടിച്ചെടുത്ത് ഓഫ്ലൈനായി ആക്രമിക്കാം, 2012-ൽ ഒരു പൊതു ക്രാക്കിംഗ് സേവനം സാധാരണ പാസ്വേഡിന് അത്തരം ഹാൻഡ്ഷേക്കിൽ നിന്ന് ഏകദേശം ഒരു ദിവസത്തിൽ വീണ്ടെടുക്കൽ കാണിച്ചു. നീളമേറിയതും സങ്കീർണ്ണവുമായ പാസ്വേഡ് ചെലവ് ഉയർത്തുന്നു; ആക്രമണകാരന് നെറ്റ്വർക്കിൽ നിന്ന് ആവശ്യമായ വസ്തു അത് നീക്കം ചെയ്യുന്നില്ല.

നിങ്ങൾക്ക് വേണ്ട സ്വഭാവം വീണ്ടും പ്ലേ ചെയ്യാനാകാത്ത ഒരു ക്രെഡൻഷ്യലാണ്. ക്ലൈന്റ് സർട്ടിഫിക്കറ്റുകളുള്ള EAP-TLS ഓരോ ഉപകരണത്തിനും സ്വന്തം ഐഡന്റിറ്റി നൽകുകയും കൃത്യം ഒരു ഉപകരണം റദ്ദാക്കാൻ അനുവദിക്കുകയും ചെയ്യുന്നു.

സർട്ടിഫിക്കറ്റുകൾ വിന്യസിക്കുന്നത് യഥാർത്ഥ ജോലിയാണ്: ഒരു സ്വകാര്യ CA, ക്ലൈന്റുകൾ പരിശോധിക്കുന്ന റദ്ദാക്കൽ പാത, ജീവനക്കാരുടെ മാറ്റം അതിജീവിക്കുന്ന പുതുക്കൽ പദ്ധതി. ആ ജോലിയെ പ്രോജക്റ്റായി കാണുക, നിങ്ങൾക്കും പ്രവർത്തിക്കുന്ന ടണലിനും ഇടയിലുള്ള തടസ്സമായി അല്ല. ഫയർവാൾ മാറ്റിസ്ഥാപിക്കാൻ ബജറ്റ് നീക്കിവയ്ക്കുന്നതുപോലെ അതിന് ബജറ്റ് നീക്കിവയ്ക്കുക. പങ്കിട്ട പാസ്വേഡ് ആദ്യ റദ്ദാക്കൽ വരെ മാത്രം വിലകുറഞ്ഞതാണ്.

മുൻകൂട്ടി പങ്കിട്ട കീ ജോടിയെ പ്രാമാണീകരിക്കുന്നു, വ്യക്തിയെയല്ല

L2TP/IPsec മുൻകൂട്ടി പങ്കിട്ട കീയോടെ രണ്ട് ഗേറ്റ്വേകൾ ഒരേ രഹസ്യം അറിയുന്നു എന്ന് തെളിയിക്കുന്നു. ഏത് മനുഷ്യനാണ് കണക്ട് ചെയ്യുന്നത് എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല, ആ പാളിയിൽ ഒരു ജീവനക്കാരനെ മറ്റൊരാളിൽ നിന്ന് വേർതിരിക്കാനും കഴിയില്ല. നീണ്ട റാൻഡം മൂല്യം ഉപയോഗിക്കുക, ചില ഗൈഡുകൾ നിർദ്ദേശിക്കുന്ന പത്ത് അക്ഷരങ്ങളെ വളരെ കവിഞ്ഞ്, കാരണം ഹാൻഡ്ഷേക്ക് പിടിക്കുന്ന ആർക്കും കീയെ ഓഫ്ലൈനായി ആക്രമിക്കാം.

ആ പ്രൊഫൈലിലെ ഓരോ ക്ലൈന്റും രഹസ്യം പങ്കിടുന്നു, അതിനാൽ ഒരാളെ നീക്കം ചെയ്യുന്നത് ബാക്കിയുള്ള എല്ലാവർക്കും അത് വീണ്ടും വിതരണം ചെയ്യുന്നു എന്നാണ്. മെഷീൻ തലത്തിലുള്ള രഹസ്യത്തിന് മുകളിൽ പ്രത്യേക ഉപയോക്തൃ പ്രാമാണീകരണ ഘട്ടം സൂക്ഷിക്കുക, ക്ലൈന്റ് എണ്ണം വളരുമ്പോൾ സർട്ടിഫിക്കറ്റുകളിലേക്ക് മാറുക. മുൻകൂട്ടി പങ്കിട്ട കീ MS-CHAPv2-മായി ചേരുമ്പോൾ രണ്ട് ദുർബല പാളികളാണ്, രണ്ടാമത്തേത് ആദ്യത്തേതിനെ നിഷ്ഫലമാക്കുന്നു.

അധികാരം നൽകൽ Network Policy Server-ൽ ആണ്

Windows-ലെ NPS ആർക്ക് കണക്ട് ചെയ്യാമെന്ന് തീരുമാനിക്കുന്നു, അത് പ്രാമാണീകരണം ഇതിനകം വിജയിച്ചതിന് ശേഷമാണ് ചെയ്യുന്നത്. ആ വേർതിരിക്കൽ ഉൽപ്പന്നത്തിലെ ഏറ്റവും ഉപയോഗപ്രദമായ കാഠിന്യ നിയന്ത്രണമാണ്, പല വിന്യാസങ്ങളും അത് അസ്പർശിതമായി വിടുന്നു.

യഥാർത്ഥ നിയന്ത്രണങ്ങൾ പ്രതിഫലിപ്പിക്കുന്ന നയ വ്യവസ്ഥകൾ ഉപയോഗിക്കുക: ഗ്രൂപ്പ് അംഗത്വം, പിന്തുണ ജീവനക്കാരുള്ള സമയ വിൻഡോ, ആരോഗ്യ പരിശോധനയിൽ നിന്നുള്ള ഉപകരണാവസ്ഥ. ഡാറ്റ ഘർഷനെ ന്യായീകരിക്കുന്നിടത്ത് രണ്ടാം ഘടകം ചേർക്കുക, ഓരോ കണക്ഷൻ ശ്രമത്തിനും നയം വിലയിരുത്തപ്പെടുന്നു എന്ന് ഓർക്കുക, അത് അതിനെ രേഖയല്ലാതെ ജീവനുള്ള നിയന്ത്രണമാക്കുന്നു.

RADIUS അക്കൗണ്ടിംഗ് ആര് എപ്പോൾ കണക്ട് ചെയ്തു എന്നതിന് ഒരു രേഖയും നൽകുന്നു. ആ ലോഗ് സംഭവ അവലോകനവും ഊഹവും തമ്മിലുള്ള വ്യത്യാസമാണ്, ആരെങ്കിലും അത് വായിക്കുന്നുവോ ഇല്ലയോ എന്നത് പരിഗണിക്കാതെ അത് നിലനിൽക്കുന്നു.

വിജയകരമായ ലോഗിൻ എവിടെയെത്താമെന്ന് പരിമിതപ്പെടുത്തുക

VPN അഡാപ്റ്റർ മുഴുവൻ സബ്നെറ്റിനും പകരം അതിന്റെ റോളിന് ആവശ്യമായ സേവനങ്ങൾ അനുവദിക്കുന്ന ഫയർവാൾ പ്രൊഫൈലിൽ ഇറങ്ങണം. റൂട്ടിംഗ് ചോദ്യം ഫിൽട്ടറിംഗിൽ നിന്ന് വേറിട്ടതാണ്. പൂർണ്ണ ടണൽ ക്ലൈന്റ് ഉപകരണത്തെ സംരക്ഷിച്ച് ഓരോ ബൈറ്റും നിങ്ങളുടെ അപ്ലിങ്കിലൂടെ അയയ്ക്കുന്നു, വിഭജിത ടണൽ പ്രാദേശിക ട്രാഫിക് പ്രാദേശികമായി നിർത്തി ഉപകരണത്തെ അത് ഏത് നെറ്റ്വർക്കിലാണോ എന്നതിന് വിധേയമാക്കുന്നു.

രണ്ട് തിരഞ്ഞെടുപ്പുകളിൽ ഒന്നും സുരക്ഷാ സ്വതവേയുള്ള മൂല്യമല്ല. രണ്ടും അവ അനുമാനിക്കുന്ന ഫയർവാൾ പ്രൊഫൈലിന് അടുത്ത് എഴുതണം.

പരാജയ പാതകൾ പരിശോധിക്കുക

എന്ത് തകരണം എന്ന് പരീക്ഷിക്കുക: തെറ്റായ പാസ്വേഡ്, കാലഹരണപ്പെട്ട സർട്ടിഫിക്കറ്റ്, റദ്ദാക്കിയ ഉപകരണം, ഗ്രൂപ്പിന് പുറത്തുള്ള ഉപയോക്താവ്. ഓരോന്നും വ്യത്യസ്ത ഘട്ടത്തിൽ പരാജയപ്പെടണം, ഏതാണെന്ന് ലോഗ് പറയണം. സെറ്റ് ആദ്യം ടെസ്റ്റ് അക്കൗണ്ടിൽ ഓടിക്കുക, പിന്നീട് യഥാർത്ഥ ഉപയോക്താവിനായി ആവർത്തിക്കുക. കാരണമില്ലാതെ ഇവന്റ് ലോഗിൽ എത്തുന്ന നിരസിക്കൽ ആ രേഖ ആവശ്യമാകുന്നതിന് വളരെ മുമ്പ് ശരിയാക്കാൻ യോഗ്യമാണ്.

പിന്നീട് ഏത് പോർട്ടുകൾ പ്രസിദ്ധീകരിച്ചിട്ടുണ്ട്, എന്തുകൊണ്ട് എന്ന് സ്ഥിരീകരിക്കുക. PPTP-യ്ക്ക് TCP 1723-ഉം പോർട്ടിന് പകരം IP പ്രോട്ടോക്കോളായി GRE-യും വേണം, IKEv2-ന് UDP 500-ഉം 4500-ഉം വേണം, L2TP-യ്ക്ക് UDP 1701-ഉം IPsec-ഉം വേണം. ക്ലൈന്റ് കണക്ട് ചെയ്യാൻ മാനേജ്മെന്റ് ഇന്റർഫേസ് തുറക്കുന്നത് നന്നാക്കലല്ല, കണ്ടെത്താൻ കാത്തിരിക്കുന്ന രണ്ടാമത്തെ സംഭവമാണ്.

അവസാനം, സെർവർ എന്ത് എത്ര കാലം രേഖപ്പെടുത്തുന്നു എന്ന് തീരുമാനിക്കുക. പ്രാമാണീകരണ ചരിത്രമില്ലാത്ത അന്ത്യബിന്ദു സംഭവത്തിന് ശേഷമുള്ള ആദ്യ ചോദ്യത്തിന് ഉത്തരം നൽകാനാകില്ല, അതായത് ശ്രമം എപ്പോഴെങ്കിലും അധികാരപ്പെടുത്തിയിരുന്നോ എന്ന്.