Windows VPN-ийг бэхжүүлэх: туннелээс өмнө баталгаажуулалтыг засаарай

Таны Windows VPN сервер хэрэглэгчийн нэр, нууц үг асуудаг бөгөөд тэр нэг харилцан яриа гурав хамааралгүй үүргийг нуудаг. Нэг нь хүн хэн болохыг нотолдог, нэг нь шугамыг ажиглаж буй хэн нэгэн тэр нотолгоог дахин ашиглахаас сэргийлдэг, нэг нь дараа нь ямар хаягууд руу хүрч болохыг шийддэг. Жижиг байршуулалтын ихэнх нь эхлээд туннелийг бэхжүүлж, эхний хоёр үүргийг анхдагч утгад үлдээдэг нь буруу дараалал юм.

Халдагчийн ажилладаг дарааллаар ажиллаарай. Эхлээд шугамаас барьж авч болох зүйл. Дараа нь тэр бичлэгээр дараа нь дахин тоглуулж болох зүйл. Эцэст нь баталгаажсан халдагч дотогш орсны дараа хүрч чадах зүйл.

Гурван үүрэг, нэг харилцан яриа

Таних тэмдэг бол хүмүүсийн боддог хэсэг бөгөөд энэ нь асуудлын гуравны нэг л юм. Таних тэмдгийн нотолгоо нь солилцоог бичиж аваад дараа нь дахин оролддог ажиглагчийг давах ёстой. Харин зөвшөөрөл олголт бол таних тэмдэг тогтсоны дараа сервер гаргах тусдаа шийдвэр бөгөөд Windows үүнийг итгэмжлэлийг шалгадаг үйлчилгээнээс өөр үйлчилгээнд хадгалдаг.

Гурав нь нэг оюуны хувинд амьдрах үед ердийн үр дүн нь хүчтэй баталгаажуулаад дараа нь хэрэглэгчид бүх зүйлд хүрэх боломж олгодог сервер юм. Үүнийг дараа засах нь одоо бодлогыг шийдэхээс хэцүү, учир нь тэр үед галт ханын профайл, хаягийн сан, маршрутууд бүгд хуучин таамаглалыг кодчилсон байдаг.

Ямар ч тохиргоонд хүрэхээс өмнө гурвыг тэмдэглэлдээ тусгаарлаж, дараа нь хамгийн сул холбоосоос дээш засаарай.

MS-CHAPv2 яагаад дахин тоглуулалтын шалгалтыг давахгүй вэ

Хэрэв сервер MS-CHAPv2-той PPTP-г хүлээн авснаар байгаа бол туннель нууц үгийг ямар ч утга учиртай байдлаар хамгаалахгүй. Сорилт ба хариуг барьж аваад сүлжээнээс гадуур довтолж болно, 2012 онд нээлттэй хагалах үйлчилгээ ердийн нууц үгийн хувьд ийм гарын барилдаанаас ойролцоогоор нэг хоногт сэргээхийг үзүүлсэн. Илүү урт, нарийн нууц үг зардлыг нэмэгдүүлдэг; халдагчид сүлжээнээс хэрэгтэй материалыг арилгадаггүй.

Танд хэрэгтэй шинж чанар нь дахин тоглуулж болохгүй итгэмжлэл юм. Клиентийн гэрчилгээтэй EAP-TLS төхөөрөмж бүрт өөрийн таних тэмдгийг өгч, яг нэг төхөөрөмжийг хүчингүй болгох боломж олгоно.

Гэрчилгээ байршуулах нь жинхэнэ ажил: хувийн CA, клиентүүд шалгадаг хүчингүй болгох зам, ажилтны солилцоог давах шинэчлэлийн төлөвлөгөө. Тэр ажлыг төсөл гэж үзээрэй, өөр таныг ажиллаж буй туннельтай холбосон саад гэж биш. Галт ханыг солиход төсөв гаргадаг шиг түүнд төсөв гаргаарай. Хамтарсан нууц үг зөвхөн эхний хүчингүй болголт хүртэл хямд.

Урьдчилан хуваалцсан түлхүүр хосыг баталгаажуулна, хүнийг биш

L2TP/IPsec урьдчилан хуваалцсан түлхүүртэй нь хоёр гарц ижил нууцыг мэдэж байгааг нотолно. Энэ нь аль хүн холбогдож байгаа тухай юу ч хэлэхгүй бөгөөд тэр давхаргад нэг ажилтныг нөгөөгөөс ялгаж чадахгүй. Урт санамсаргүй утга ашиглаарай, зарим гарын авлага санал болгодог арван тэмдэгтээс хамаагүй давж, учир нь гарын барилдааныг барьсан хэн ч түлхүүрт сүлжээнээс гадуур довтолж чадна.

Тэр профайлын клиент бүр нууцыг хуваалцдаг тул нэг хүнийг хасах нь үлдсэн бүгдэд дахин хуваарилахыг хэлнэ. Машины түвшний нууцын дээр хэрэглэгчийн баталгаажуулалтын тусдаа алхам хадгалж, клиентийн тоо өсөхөд гэрчилгээ рүү шилжээрэй. Урьдчилан хуваалцсан түлхүүр MS-CHAPv2-той хамт хоёр сул давхарга бөгөөд хоёр дахь нь эхнийхийг хүчингүй болгоно.

Зөвшөөрөл олголт Network Policy Server-т байдаг

Windows дээрх NPS хэн холбогдож болохыг шийддэг бөгөөд үүнийг баталгаажуулалт аль хэдийн амжилттай болсны дараа хийдэг. Тэр тусгаарлалт нь бүтээгдэхүүн дэх хамгийн ашигтай бэхжүүлэлтийн хяналт бөгөөд олон байршуулалт үүнийг хөндөхгүй орхидог.

Бодит хязгаарлалтыг илэрхийлсэн бодлогын нөхцөл ашиглаарай: бүлгийн гишүүнчлэл, дэмжлэг ажилтнуудтай байх хугацааны цонх, эрүүл мэндийн шалгалтаас гарсан төхөөрөмжийн төлөв. Өгөгдөл үрэлтийг зөвтгөдөг газарт хоёр дахь хүчин зүйл нэмж, бодлого холболтын оролдлого бүрт үнэлэгддэг гэдгийг санаарай, энэ нь үүнийг баримт бичиг биш амьд хяналт болгодог.

RADIUS нягтлан бодох бүртгэл хэн хэзээ холбогдсон тухай нэг бичлэг өгдөг. Тэр лог нь тохиолдлын хяналт ба таамаглалын ялгаа бөгөөд хэн нэгэн уншсан эсэхээс үл хамааран оршино.

Амжилттай нэвтрэлт хаа хүрч чадахыг хязгаарлаарай

VPN адаптер бүхэл дэд сүлжээнд биш, өөрийн үүрэгт хэрэгтэй үйлчилгээг зөвшөөрдөг галт ханын профайлд буух ёстой. Маршрутжуулалтын асуудал шүүлтээс тусдаа. Бүрэн туннель клиентийн төхөөрөмжийг хамгаалж, байт бүрийг таны дээд сувгаар дамжуулдаг бол хуваасан туннель орон нутгийн урсгалыг орон нутагт байлгаж, төхөөрөмжийг аль ч сүлжээнд ил гаргадаг.

Хоёр сонголтын аль нь ч аюулгүй байдлын анхдагч биш. Хоёуланг таамаглаж буй галт ханын профайлын дэргэд бичих ёстой.

Алдааны замыг шалгаарай

Юу эвдрэх ёстойг туршаарай: буруу нууц үг, хугацаа дууссан гэрчилгээ, хүчингүй болгосон төхөөрөмж, бүлгээс гадуур хэрэглэгч. Тус бүр өөр цэгт бүтэлгүйтэх ёстой бөгөөд лог аль нь байсныг хэлэх ёстой. Багцыг эхлээд туршилтын бүртгэл дээр ажиллуулж, дараа нь бодит хэрэглэгчид давтаарай. Шалтгаангүйгээр үйл явдлын логт орсон татгалзал нь тэр бичлэг хэрэгтэй болохоос хамаагүй өмнө засах үнэ цэнэтэй.

Дараа нь ямар портууд нийтлэгдсэн, яагаад гэдгийг баталгаажуулаарай. PPTP-д TCP 1723 болон порт биш, IP протокол хэлбэрээр GRE хэрэгтэй, IKEv2-д UDP 500 ба 4500 хэрэгтэй, L2TP-д UDP 1701 болон IPsec хэрэгтэй. Клиент холбогдохын тулд удирдлагын интерфэйс нээх нь засвар биш, нээгдэхийг хүлээж буй хоёр дахь тохиолдол юм.

Эцэст нь сервер юу, хэр удаан бүртгэхийг шийдээрэй. Баталгаажуулалтын түүхгүй төгсгөлийн цэг тохиолдлын дараах эхний асуултад хариулж чадахгүй, өөрөөр хэлбэл оролдлого хэзээ нэгэн цагт зөвшөөрөгдсөн эсэх.