PPTP/MS-CHAPv2-оос татгалзах: хуучин VPN-ийн гарын авлага

Сар бүр сольж, сейфэд хадгалдаг хорин тэмдэгтэй нууц үг ч MS-CHAPv2-той ажилладаг PPTP серверийг орчин үеийн VPN болгохгүй. Нууц үг бол сул тал нь солилцооны дотор байдаг солилцооны оролт юм. Энэ гарын авлага тэр серверийг өвлөж авсан, түүнээс хамааралтай талбайг таслахгүйгээр хэрэглэгчдийг нүүлгэх ёстой хүнд зориулагдсан. Алхмуудыг дарааллаар гүйцэтгэнэ үү, учир нь алхам бүр хэн нэгэн «нэвтрэх эрх яагаад гэнэт өөрчлөгдсөн» гэж асуухад хэрэгтэй болох бичлэг үлдээдэг.

Ямар нэгэн зүйлд хүрэхээс өмнө стекээ бичиж аваарай

PPTP гэдэг үгэнд гурван давхарга нийлдэг бөгөөд тус бүр өөрийн аргаар бүтэлгүйтдэг. Туннель бол PPTP өөрөө, GRE нэмэх TCP 1723. Баталгаажуулалт нь серверийн санал болгодог PPP арга, энд MS-CHAPv2. Холбоосын хамгаалалт нь MPPE бөгөөд түүний түлхүүрүүд тэр баталгаажуулалтын солилцооноос үүсдэг. Гурвыг нэрлэснээр дараагийн засвар буруу давхаргад буухаас сэргийлнэ.

Вики хуудсанд итгэхийн оронд амьд тохиргоог уншиж, файл, сонсогч, баталгаажсан сүүлийн сессионуудыг тэмдэглээрэй.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows-ын алсын хандалтын үүрэгт ижил бүртгэл хоёр командаас гардаг бөгөөд хоёр дахь нь чухал, учир нь үүрэг нэгэн зэрэг хэд хэдэн аргыг зарлаж болох ч талбайн клиентүүд үргэлж хамгийн сул аргаар л тохиролцдог.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Туннель өнөөдөр үнэхээр юу зөөж байгааг тодорхойлоорой

Орлуулагчийг сонгохоос өмнө хэрэглэгчдийг жагсаа: явган зөөврийн компьютер, салбарын маршрутлагч, төлбөрийн терминал, талбайн таблетуудын багц. Зөвхөн нэг дотоод хостод хүрэхэд л хангалттай хэрэглэгчийг нүүлгэхэд хялбар. Дахин флаш хийх боломжгүй техник хэрэгсэлд суулгасан хэрэглэгчид клиентийн шинэчлэлийн оронд завсрын гарц хэрэгтэй байж болох бөгөөд энэ шийдвэр шилжилтийн дунд биш, төлөвлөгөөнд байх ёстой.

Дараа нь нэвтрэх солилцоог ажиглах эсвэл түүнд нөлөөлж чадах халдлагч юу олж авахыг асуу. MS-CHAPv2-ийн хувьд хариулт нь хэрэглэгчийн нууц үгийг сүлжээгүйгээр сэргээх боломж олгодог материал агуулдаг бөгөөд урт, эргэлт нь загварыг засдаггүй шалтгаан нь энэ: сэргээсэн нууц нь хэрэглэгч дахин ашигласан бүх системд хүчинтэй.

MPPE мөн адил сул талыг өвлөдөг, учир нь түүний түлхүүрүүд тэр солилцооноос гардаг, мөн орчин үеийн AEAD шифрийн пакет бүрийн бүрэн бүтэн байдал, давталтын зан төлөвийг өгдөггүй. Цэвэр баталгаажсан сессион зөвхөн тохируулсан шалгалтуудтай нийцэж байгааг нотолсон, үүнээс өөр зүйлгүй.

Богино үдийн завсарлага ч, цөөн хэрэглэгч ч криптограф шинжийг бодлогын шинж болгон хувиргадаггүй.

Шилжилтийг нэг үйлчилгээний цонхонд гүйцэтгэнэ үү

Орлуулагчийг босгож, нэг туршилтын бүлгээр нотолж, дараа нь хуучин сонсогчийг чимээгүй нөөц болгож үлдээхийн оронд зогсоо. Хүн бүр хүрч чаддаг нөөц нь шилжилт биш бөгөөд сул солилцоог шилжихэд хэзээ ч тэвчээр гаргадаггүй хэрэглэгчдэд нээлттэй үлдээдэг.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Мөн цонхонд галт ханын замыг хаа. GRE-д санах порт байхгүй тул 47 протоколыг дугаараар зөвшөөрсөн дүрэм амархан анзаарагдахгүй өнгөрч, демон явсны дараа ч үйлчилгээг хүрч болохоор үлдээдэг. Устгасан дүрэм, түүний өмнөх байрлал, шалтгааныг тэмдэглээрэй, ингэснээр дараагийн өөрчлөлтийн хяналт түүнийг санамсаргүй сэргээхгүй.

Итгэмжлэлийг тохиргооноос тусад нь зохицуул. Клиентийн профайлыг устгах нь хүчингүй болгох биш, өөр газар баталгаажиж байгаа бүртгэл ашиглалтаас гараагүй байна.

Орлуулагч PPTP-ийн хийж байсан ажлыг хийж байгаа эсэхийг шалга

Шалгах хуудас нь «холбогдож байна уу» биш. Баталгаажуулалт, хаяг хуваарилалт, DNS шийдвэрлэлт, зам сонголт, дахин холбогдолтын зан төлөв, түншийн шалгалт бүгд орлуулагчийн дор хэрэгжиж байгаа эсэх юм. Тус бүрийг туршилтын төхөөрөмж дээр, тэр дарааллаар туршиж, ажигласан үр дүнг хүлээлтийн хажууд бичээрэй.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Интерфэйс дээрх хаяг хэлэлцээр дууссныг нотолно. Алслагдсан тал таны хүлээж буй замыг зөвшөөрснийг нотлохгүй, дээрх асуулга зөвхөн энэ хостод хариулна, дамжуулсан LAN-д биш. Шийдэгчийн хариулт шийдэгчид хүрэх боломжийг нотолно, хуваагдсан DNS бодлого зөв нэрсийг тийш илгээж байгааг биш.

Дахин холбогдолтыг хамгийн сүүлд шалга, учир нь ихэнх орлуулагч тэнд ухардаг: зөөврийн компьютерээ унтуулж, сүлжээг сольж, хуучин замыг орхихгүйгээр туннель дахин тогтохыг батал.

Буцаалт, хүчингүй болголт, үлдээсэн бичлэг

Буцаалт үйлчилгээг сэргээдэг; аюулгүй байдлыг сэргээдэггүй, энэ ялгааг цонх нээгдэхийн өмнө чанга хэлэх ёстой. Хэрэв шинэ зам бүтэлгүйтвэл хэрэглэгчдийг бүгдэд нь PPTP-г дахин асаах замаар биш, хоёр дахь орчин үеийн төгсгөлийн цэг эсвэл түр гарцаар буцааж авчир. Хуучин протокол дээр нэг яаралтай замыг үлдээх нь дөнгөж баримтжуулсан өртөлтийг өргөжүүлдэг.

Шилжилтийн дараа PPTP-ээр баталгаажсан бүртгэлүүдийг хүчингүй болгож, хадгалсан профайлууд нь дуусахыг зөвшөөрч, GRE дүрэм захын төхөөрөмж бүрээс, хэн ч санахгүй гамшгийн сэргээлтийн хуулбараас ч алга болсныг батал.

Богино бичлэг үлдээ: олсон протоколууд, сонсогч бүрийн зогссон огноо, орлуулагчийн дэмждэг клиентийн хувилбарууд, шийдвэрийг дахин нээж чадах эзэн. Нууц үгийн эрүүл ахуй цаашид ч чухал, гэхдээ түүнд зохистой протокол дээрх эрүүл ахуй хэлбэрээр, хуучныг амьд байлгах үндэслэл болгон биш.