Menghentikan PPTP/MS-CHAPv2: runbook untuk VPN warisan

Kata laluan dua puluh aksara, yang ditukar setiap bulan dan disimpan dalam peti besi, tidak menjadikan pelayan PPTP yang menjalankan MS-CHAPv2 sebagai VPN moden. Kata laluan ialah input kepada pertukaran yang kelemahannya terletak dalam pertukaran itu sendiri. Runbook ini untuk sesiapa yang mewarisi pelayan itu dan perlu memindahkan pengguna daripadanya tanpa memotong tapak yang bergantung padanya. Lakukan langkah-langkah mengikut urutan, kerana setiap satu meninggalkan rekod yang anda perlukan apabila seseorang bertanya mengapa akses tiba-tiba berubah.

Tuliskan tindanan sebelum menyentuh apa-apa

Tiga lapisan dileburkan ke dalam perkataan PPTP, dan setiap satu gagal dengan caranya sendiri. Terowong ialah PPTP itu sendiri, GRE tambah TCP 1723. Pengesahan ialah kaedah PPP yang ditawarkan pelayan, di sini MS-CHAPv2. Perlindungan pautan ialah MPPE, yang kuncinya diterbitkan daripada pertukaran pengesahan itu. Menamakan ketiga-tiganya menghalang pembetulan kemudian daripada mendarat pada lapisan yang salah.

Baca konfigurasi hidup dan bukan mempercayai halaman wiki, dan catat fail, pendengar serta sesi terakhir yang disahkan.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Pada peranan akses jauh Windows, inventori yang sama datang daripada dua arahan, dan yang kedua penting kerana peranan boleh mengiklankan beberapa kaedah serentak manakala klien di lapangan hanya pernah berunding untuk yang paling lemah.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Tentukan apa yang sebenarnya dibawa terowong hari ini

Senaraikan pengguna sebelum memilih pengganti: komputer riba kembara, penghala cawangan, terminal pembayaran, satu set tablet lapangan. Pengguna yang hanya perlu mencapai satu hos dalaman mudah dipindahkan. Pengguna yang tertanam dalam perkakasan yang tidak boleh anda flash semula mungkin memerlukan get laluan perantaraan dan bukan peningkatan klien, dan keputusan itu tergolong dalam pelan, bukan di tengah-tengah peralihan.

Kemudian tanya apa yang akan diperoleh penyerang yang boleh memerhati atau mempengaruhi pertukaran log masuk. Dengan MS-CHAPv2, jawapannya termasuk bahan yang membolehkan pemulihan kata laluan pengguna secara luar talian, dan itulah sebabnya panjang dan putaran tidak membaiki reka bentuk: rahsia yang dipulihkan sah pada setiap sistem tempat pengguna menggunakannya semula.

MPPE mewarisi kelemahan yang sama, kerana kuncinya datang daripada pertukaran itu, dan ia tidak memberi anda integriti setiap paket dan tingkah laku main semula seperti sifer AEAD moden. Sesi yang disahkan dengan bersih hanya membuktikan keserasian dengan semakan yang dikonfigurasikan dan tidak lebih.

Baik rehat makan tengah hari yang singkat mahupun bilangan pengguna yang kecil tidak mengubah sifat kriptografi menjadi sifat dasar.

Lakukan migrasi dalam satu tetingkap penyelenggaraan

Dirikan pengganti, buktikannya dengan satu kumpulan perintis, kemudian hentikan pendengar lama dan bukan membiarkannya sebagai sandaran senyap. Sandaran yang masih boleh dicapai oleh semua orang bukan migrasi, dan ia mengekalkan pertukaran lemah tersedia khusus untuk pengguna yang tidak pernah bersusah payah bertukar.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Tutup laluan tembok api dalam tetingkap yang sama. GRE tidak mempunyai port untuk diingati, jadi peraturan yang membenarkan protokol 47 mengikut nombor mudah terlepas pandang dan membiarkan perkhidmatan boleh dicapai walaupun selepas daemon tiada. Catat peraturan yang anda buang, kedudukan sebelumnya dan sebabnya, supaya semakan perubahan kemudian tidak memulihkannya secara tidak sengaja.

Kendalikan kelayakan secara berasingan daripada konfigurasi. Membuang profil klien bukan pembatalan, dan akaun yang masih disahkan di tempat lain belum ditarik balik.

Sahkan bahawa pengganti melakukan kerja yang pernah dilakukan PPTP

Senarai semak bukan “adakah ia bersambung”. Ia ialah sama ada pengesahan, peruntukan alamat, penyelesaian DNS, pemilihan laluan, tingkah laku sambung semula dan pengesahan rakan sebaya masih bertahan di bawah pengganti. Uji setiap satu pada peranti perintis, dalam urutan itu, dan tulis hasil yang diperhatikan di sebelah jangkaan.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Alamat pada antara muka membuktikan rundingan selesai. Ia tidak membuktikan bahawa pihak jauh membenarkan laluan yang anda jangkakan, dan pertanyaan di atas hanya menjawab untuk hos ini, bukan untuk LAN yang diposkan. Jawapan penyelesai membuktikan kebolehcapaian penyelesai, bukan bahawa dasar DNS berpecah menghantar nama yang betul ke sana.

Uji sambung semula paling akhir, kerana di situlah kebanyakan pengganti merosot: tidurkan komputer riba, tukar rangkaian, dan sahkan terowong dipulihkan tanpa meninggalkan laluan usang.

Kembali ke belakang, pembatalan dan rekod yang anda tinggalkan

Kembali ke belakang memulihkan perkhidmatan; ia tidak memulihkan keselamatan, dan perbezaan itu perlu dinyatakan dengan lantang sebelum tetingkap dibuka. Jika laluan baharu gagal, bawa pengguna kembali melalui titik akhir moden kedua atau get laluan sementara, bukan dengan menghidupkan semula PPTP untuk semua orang. Mengekalkan satu laluan kecemasan pada protokol lama meluaskan pendedahan yang baru anda dokumenkan.

Selepas peralihan, tarik balik akaun yang disahkan melalui PPTP, biarkan profil tersimpan mereka luput, dan sahkan peraturan GRE telah hilang daripada setiap peranti tepi, termasuk salinan pemulihan bencana yang tiada siapa ingat.

Tinggalkan rekod ringkas: protokol yang anda temui, tarikh setiap pendengar berhenti, versi klien yang disokong pengganti, dan pemilik yang boleh membuka semula keputusan itu. Kebersihan kata laluan masih penting selepas itu, tetapi sebagai kebersihan pada protokol yang layak menerimanya, bukan sebagai hujah untuk mengekalkan yang lama.