RouterOS OpenVPN ба NPS: auth биш, user-auth-method тохируулна уу

RouterOS-д auth нь туннелийн дижестийг сонгож, user-auth-method нь RADIUS хүсэлтийг хэрхэн шалгахыг тодорхойлдог. Хоёр дахьыг NPS бодлоготой нийцүүлнэ үү.

RouterOS нь OpenVPN нэвтрэлтээр NPS-д хүрч, тэгсэн ч татгалзаж болно, бөгөөд ердийн шалтгаан нь нэр нь хоёулаа баталгаажуулалт мэт сонсогддог хоёр тохиргоо юм. Нэг нь туннелийн криптограф дижестийг сонгодог; нөгөө нь хэрэглэгчийн итгэмжлэлийг RADIUS-д хэрхэн танилцуулахыг тодорхойлдог. Дижестийг өөрчлөх нь PAP хүсэлтийг хэзээ ч MS-CHAPv2 болгохгүй, үйлчилгээ хэдэн ч удаа дахин эхэлсэн. Доорх хяналтын жагсаалт хоёрыг нь ялгаж, дараа нь нэг бүтэлгүй нэвтрэлтийг түүнийг үнэлсэн NPS бодлогын дундуур хянана.

1-р алхам: аль нэгийг нь өөрчлөхөөс өмнө хоёр тохиргоог уншина уу

Туннелийг дуусгаж буй маршрутлагч дээрх үр дүнтэй OpenVPN серверийн тохиргоог хэвлэ, нөөц хуулбар эсвэл хуулсан форумын нийтлэлээс биш. Танд хэрэгтэй хоёр талбар ихэвчлэн нэг цэсэнд байдаг бөгөөд өөр хувилбар мэт уншигддаг. Тэд тийм биш: нэг нь өгөгдлийн сувгийн тухай, нөгөө нь итгэмжлэлийн солилцооны тухай.

/interface ovpn-server server print
/interface ovpn-server server export

auth талбар нь sha1, sha256 зэрэг дижестүүдийг жагсааж, туннелийн пакетуудыг баталгаажуулдаг HMAC-г удирддаг. user-auth-method талбар нь pap эсвэл mschap2-г сонгож, маршрутлагч хэрэглэгчийн итгэмжлэлийг RADIUS-д хэрхэн танилцуулахыг тодорхойлдог. Дижестийн өөрчлөлт нь хоёр дахь зан төлөвийг өөрчилж чадахгүй, тиймээс ижил татгалзал эхнийхэд хийсэн засвар бүрийн дараа ч үлддэг.

Хэрэв таны хувилбар user-auth-method-г огт ил гаргахгүй бол энд зогсоо. Хуучин RouterOS бүтээцүүд үүнийг OpenVPN сервер дээр санал болохгүй байж болох бөгөөд засвар нь шинээс хуулсан команд биш, таны дэмжиж чадах хувилбарт хамаарна.

2-р алхам: нэвтрэлтийг үнэхээр татгалзсан бодлогыг ол

NPS талд холболтын хүсэлтийг сүлжээний бодлоготой харьцуулан үнэлдэг бөгөөд тохирох бодлогод дурдсан баталгаажуулалтын арга нь үйлчлүүлэгчийн үнэхээр санал болгосон аргуудын нэг байх ёстой. Дүгнэлт тоог уншихын оронд нэг бүтэлгүй нэвтрэлтийг цаг, хэрэглэгчээр холбо. Аюулгүй байдлын бүртгэл зөвшөөрсөн, татгалзсан хүсэлтүүдийг шалтгааны кодтой бүртгэдэг бөгөөд энэ нь маршрутлагчийн ерөнхий алдааны мөрөөс хамаагүй ихийг хэлнэ.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Үйл явдлаас гурван зүйлийг унш: тохирох бодлогын нэр, баталгаажуулалтын арга, шалтгааны код. MS-CHAPv2 шаарддаг бодлого нууц үг зөв байсан ч PAP хүсэлтийг татгалздаг, домэйн бүртгэл шаарддаг бодлого локал бүртгэлийг татгалздаг. RADIUS үйлчлүүлэгчийн бүртгэл нь маршрутлагчийн эх үүсвэрийн хаягтай тохирох ёстой, эс тэгвээс хүсэлтийг ямар ч бодлого харахаас өмнө хаядаг. Эдгээрийн аль нь ч OpenVPN бүртгэлд харагдахгүй.

Хэрэв хүсэлт NPS-д хэзээ ч хүрэхгүй бол энд зогсоо. Энэ нь хуваалцсан нууц, үйлчлүүлэгчийн хаяг эсвэл UDP 1812-ын асуудал бөгөөд баталгаажуулалтын аргыг өөрчлөх нь үүнийг засахгүй.

3-р алхам: хоёр талд нэг аргыг өөрчил

Хэрэв батлагдсан загвар нь MS-CHAPv2 бол түүнийг маршрутлагч дээр тохируулж, тохирох бодлого үүнийг хүлээн авч байгааг батал. Нэг талыг өөрчилж, дахин шалгаад, дараа нь нөгөөг өөрчил; хоёуланг нь зэрэг өөрчлөх нь аль нь чухал байсныг хэлэх боломжгүй болгоно.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Алдаа арилахын тулд NPS дээр бүх сул аргыг идэвхжүүлэх хэрэггүй. Арын систем нь сонгосон арга шалгаж чадах материалтай байх ёстой: MS-CHAPv2 нууц үг эсвэл домэйнд хандах шаардлагатай бөгөөд бодлого тэр материалыг зохиож чадахгүй. Бодлогыг өргөтгөх нь ижил бүртгэлийн эсрэг халдагчийн туршиж болохыг ч өргөтгөнө. Арга, бодлогын нэр, өөрчлөлтийн лавлагааг хамт бич, дараагийн хүн таамаг биш, шийдвэрийг өвлөн авна.

Туннелийн гэрчилгээний баталгаажуулалтыг яг өмнөх шигээ орхи. Итгэмжлэлийн арга нь серверийн таних тэмдгийг орлохгүй бөгөөд тест давахын тулд TLS шалгалтыг бууруулах нь нэг асуудлыг илүү муугаар солино.

4-р алхам: гурван нэвтрэлт, нэг зөвшөөрлийг шалга

Зөвшөөрөгдсөн хэрэглэгч, буруу нууц үг, хасагдсан хэрэглэгчийг шинэ сессээр тус тус шалга. Эхнийх нь замыг, хоёр дахь нь итгэмжлэлийн шалгалт бодит гэдгийг, гурав дахь нь бодлого хасах ёстой хүмүүсийг хасаж байгааг нотолно. Кэшлэсэн сесс гурвыг ч нууж чаддаг тул оролдлогын хооронд салга.

/log print where topics~"ovpn"
/radius monitor 0

Амжилттай баталгаажуулалт нь хяналтын жагсаалтын төгсгөл биш. Үйлчлүүлэгчийн авсан хаяг болон тэр хаягаар хүрэх боломжтой нөөцийг шалга, учир нь хэрэглэгч зөв баталгаажсан ч буруу санд орж болно. Хэрэв олгосон хаяг буруу бол асуудал аргад биш, профайл эсвэл RADIUS хариултын шинж чанаруудад байна. Тасалбарыг хаахаас өмнө хоёуланг нь батал.

Маршрутлагчийн тохиргоо болон NPS бодлого ижил аргыг нэрлэх, зөвшөөрөгдсөн хэрэглэгч шинэ сессээр холбогдох, буруу нууц үг татгалзагдах, хасагдсан хэрэглэгч хасагдсан хэвээр байх, олгосон хаяг зориулсан сантай тохирох үед хяналтын жагсаалт дуусна. Үүнээс бага нь дараагийн нэвтрэлтийг санамсаргүйд үлдээнэ.

Холбоотой нийтлэлүүд