RouterOS OpenVPN आणि NPS: auth नाही, user-auth-method सेट करा

RouterOS OpenVPN लॉगिनसह NPS पर्यंत पोहोचू शकतो आणि तरीही नाकारला जाऊ शकतो, आणि सामान्य कारण दोन सेटिंग्ज आहेत ज्यांची नावे दोन्ही प्रमाणीकरणासारखी वाटतात. एक टनेलसाठी क्रिप्टोग्राफिक डायजेस्ट निवडते; दुसरे वापरकर्त्याची क्रेडेन्शियल्स RADIUS ला कशी सादर केली जातात हे ठरवते. डायजेस्ट बदलल्याने PAP विनंती कधीही MS-CHAPv2 होणार नाही, सेवा कितीही वेळा पुन्हा सुरू झाली तरी. खालील चेकलिस्ट दोन्हींना वेगळे करते आणि नंतर एक अयशस्वी लॉगिन तिचे मूल्यांकन करणाऱ्या NPS धोरणातून पुढे नेते.

पायरी 1: यापैकी काहीही बदलण्यापूर्वी दोन्ही सेटिंग्ज वाचा

टनेल संपवणाऱ्या राउटरवर प्रभावी OpenVPN सर्व्हर कॉन्फिगरेशन प्रिंट करा, बॅकअप किंवा कॉपी केलेल्या फोरम पोस्टमधून नाही. तुमच्यासाठी महत्त्वाची दोन फील्ड सामान्यतः एकाच मेनूमध्ये असतात आणि पर्यायांसारखी वाचली जातात. ते पर्याय नाहीत: एक डेटा चॅनेलबद्दल, दुसरे क्रेडेन्शियल्सच्या देवाणघेवाणीबद्दल.

/interface ovpn-server server print
/interface ovpn-server server export

auth फील्ड sha1 आणि sha256 सारखे डायजेस्ट सूचीबद्ध करते आणि टनेल पॅकेट प्रमाणित करणाऱ्या HMAC ला नियंत्रित करते. user-auth-method फील्ड pap किंवा mschap2 निवडते आणि राउटर वापरकर्त्याची क्रेडेन्शियल्स RADIUS ला कशी सादर करतो हे ठरवते. डायजेस्ट बदलामुळे दुसरे वर्तन बदलू शकत नाही, म्हणून तेच नाकारणे पहिल्यावरील प्रत्येक फेरफारनंतर टिकून राहते.

तुमची आवृत्ती user-auth-method अजिबात उघड करत नसेल तर येथे थांबा. जुनी RouterOS बिल्ड OpenVPN सर्व्हरवर ते देऊ शकत नाहीत, आणि दुरुस्ती नव्याकडून कॉपी केलेल्या कमांडमध्ये नाही, तुम्ही समर्थन देऊ शकता अशा आवृत्तीत असावी.

पायरी 2: लॉगिन प्रत्यक्षात नाकारलेले धोरण शोधा

NPS बाजूला, कनेक्शन विनंती नेटवर्क धोरणांविरुद्ध मूल्यांकन केली जाते, आणि जुळणाऱ्या धोरणात नमूद केलेली प्रमाणीकरण पद्धत क्लायंटने प्रत्यक्षात सादर केलेली एक असावी. सारांश संख्या वाचण्याऐवजी एक अयशस्वी लॉगिन वेळ आणि वापरकर्त्यानुसार जोडा. सुरक्षा लॉग अनुमत आणि नाकारलेल्या विनंत्या कारण कोडसह नोंदवते, जे राउटरच्या सामान्य अयशस्वी ओळीपेक्षा खूप जास्त सांगते.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

घटनेत तीन गोष्टी वाचा: जुळणाऱ्या धोरणाचे नाव, प्रमाणीकरण पद्धत आणि कारण कोड. MS-CHAPv2 आवश्यक असलेले धोरण पासवर्ड बरोबर असतानाही PAP विनंती नाकारते, आणि डोमेन खाते आवश्यक असलेले धोरण स्थानिक खाते नाकारते. RADIUS क्लायंट नोंद राउटरच्या स्रोत पत्त्याशी जुळणे आवश्यक आहे, अन्यथा कोणतेही धोरण पाहण्याआधी विनंती टाकली जाते. यापैकी काहीही OpenVPN लॉगमध्ये दिसत नाही.

विनंती NPS पर्यंत कधीही पोहोचत नसेल तर येथे थांबा. ती सामायिक गुप्त, क्लायंट पत्ता किंवा UDP 1812 ची समस्या आहे, आणि प्रमाणीकरण पद्धती बदलल्याने ती सुटणार नाही.

पायरी 3: दोन्ही बाजूंनी एक पद्धत बदला

मंजूर रचना MS-CHAPv2 असल्यास, ती राउटरवर सेट करा आणि जुळणारे धोरण ती स्वीकारते याची खात्री करा. एक बाजू बदला, पुन्हा चाचणी करा, नंतर दुसरी बदला; दोन्ही एकाच वेळी बदलल्यास कोणती महत्त्वाची होती हे सांगता येणार नाही.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

त्रुटी नाहीशी होण्यासाठी NPS वर प्रत्येक कमकुवत पद्धत सक्षम करू नका. बॅकएंडकडे निवडलेल्या पद्धतीला सत्यापित करता येणारी सामग्री असणे आवश्यक आहे: MS-CHAPv2 ला पासवर्ड किंवा डोमेनमध्ये प्रवेश आवश्यक आहे, आणि धोरण ती सामग्री शोधून काढू शकत नाही. धोरण रुंदावल्याने त्याच खात्याविरुद्ध हल्लेखोर काय प्रयत्न करू शकतो हेही रुंदावते. पद्धत, धोरणाचे नाव आणि बदल संदर्भ एकत्र नोंदवा, जेणेकरून पुढच्या व्यक्तीला अंदाज नाही तर निर्णय वारसा मिळेल.

टनेलची प्रमाणपत्र पडताळणी पूर्वीप्रमाणेच ठेवा. क्रेडेन्शियल पद्धत सर्व्हर ओळखीची जागा घेत नाही, आणि चाचणी उत्तीर्ण होण्यासाठी TLS तपासण्या कमी करणे एका समस्येच्या बदल्यात अधिक वाईट समस्या आणते.

पायरी 4: तीन लॉगिन आणि एक परवानगी तपासा

अनुमत वापरकर्ता, चुकीचा पासवर्ड आणि वगळलेला वापरकर्ता तपासा, प्रत्येकजण नवीन सत्रात. पहिले मार्ग सिद्ध करते, दुसरे क्रेडेन्शियल तपासणी खरी आहे हे सिद्ध करते, आणि तिसरे धोरण अजूनही ज्यांना वगळायला हवे त्यांना वगळते हे सिद्ध करते. कॅशे केलेले सत्र तीनही लपवू शकते, म्हणून प्रयत्नांमध्ये डिस्कनेक्ट करा.

/log print where topics~"ovpn"
/radius monitor 0

यशस्वी प्रमाणीकरण चेकलिस्टचा शेवट नाही. क्लायंटला मिळालेला पत्ता आणि त्या पत्त्याला पोहोचता येणारी संसाधने तपासा, कारण वापरकर्ता योग्यरित्या प्रमाणित होऊनही चुकीच्या पूलमध्ये पडू शकतो. नियुक्त केलेला पत्ता चुकीचा असल्यास, समस्या पद्धतीत नाही, प्रोफाइल किंवा RADIUS प्रतिसाद गुणधर्मांमध्ये आहे. तिकीट बंद करण्यापूर्वी दोन्हीची पुष्टी करा.

राउटर सेटिंग आणि NPS धोरण एकाच पद्धतीचे नाव घेतात, अनुमत वापरकर्ता नवीन सत्रासह जोडतो, चुकीचा पासवर्ड नाकारला जातो, वगळलेला वापरकर्ता वगळलेलाच राहतो आणि नियुक्त केलेला पत्ता इच्छित पूलशी जुळतो तेव्हा चेकलिस्ट पूर्ण होते. यापेक्षा कमी काहीही पुढील लॉगिन योगायोगावर सोडते.