Nieqes il-passthrough tal-PPTP: sewwi l-iżball 807 tal-Windows VPN

It-trasferiment tat-TCP 1723 spiss jiftaħ l-ewwel parti tal-PPTP u jħalli l-bqija miksura, għalhekk il-Windows xorta jirritorna l-iżball 807 fl-attentat. L-istint li jmiss huwa li żżid regola għall-port 47, u dan huwa eżattament il-pass li jaħli nofs jum: GRE huwa numru tal-protokoll fil-header tal-IP, mhux port li tabella tat-trasferiment tista' tqabbel. Sakemm ir-router ma jgħaddix il-protokoll 47 u ma jorbothiex mal-istess sejħa, it-tunnel ma jistax jibda. It-taqsimiet hawn taħt jifirdu ż-żewġ kanali, u mbagħad jittestjawhom wieħed wieħed.

Tabella tal-portijiet m'għandhiex ringiela għal numru tal-protokoll

Il-PPTP juża żewġ konversazzjonijiet li jfallu b'modi differenti. Dik fuq it-TCP 1723 tibda s-sejħa, tgħaddi l-informazzjoni tal-link u ttemmha meta l-utent jaqta' l-konnessjoni. In-naħa tal-payload taħdem ġewwa GRE, li l-header tal-IP jimmarka bin-numru tal-protokoll 47, u ġewwa dak it-tunnel il-PPP jinnegozja l-link waqt li MS-CHAPv2 jiċċekkja l-kredenzjali.

Billi GRE ma jġorr l-ebda header tat-trasport, ma jurix portijiet, għalhekk regola miktuba għall-portijiet ma għandha xejn x'tqabbel. Router li jittrasferixxi l-1723 joħloq immappjar għal dik is-sessjoni TCP u jieqaf hemm. Il-firmware li jamministra t-tieni nofs isejjaħ il-funzjoni passthrough tal-PPTP jew PPTP ALG, u xi firmware ma joffrix lanqas waħda u qatt ma jsemmi l-vojt. It-tikketta fuq il-kaxxa hija inqas importanti mill-mistoqsija jekk il-protokoll 47 huwiex rikonoxxut xejn.

X'jirrapporta l-Windows meta l-passaġġ tad-data jmut

L-iżball 807 jgħid li l-konnessjoni ma setgħetx titlesta, li fil-prattika jfisser li s-sejħa waslet għas-server u l-kanal tad-data ma tela'x. Hija sentenza dwar it-trasport, mhux dwar il-kont. L-iżball 691 huwa dak li jindika lill-kredenzjali jew nuqqas ta' qbil fil-protokoll tal-awtentikazzjoni, għalhekk jibgħatek x'imkien ieħor kollu.

Aħdem fuq it-trasport qabel ma tmiss il-password. Il-bdil tal-kredenzjali biex tiġri wara l-807 iħalli l-ħsara vera f'postha u jagħmel l-attentat li jmiss aktar diffiċli biex tinqara.

Għaliex it-tieni klijent ikisser tunnel li jaħdem

Mingħajr portijiet biex jiddistingwuhom, apparat NAT ma jistax jifred żewġ klijenti PPTP kif jifred żewġ sessjonijiet HTTPS. Għalhekk ħafna apparati tal-konsumatur jippermettu sejħa PPTP waħda u jsegwuha bl-indirizz tas-sors. Laptop li kien jaħdem waħdu jieqaf jitlesta hekk kif magna oħra ddawwal, u min-naħa tal-klijent il-falliment jidher każwali. Dak il-mudell jappartjeni lill-firmware, u l-ebda bidla tal-profil mhi se tibdlu.

Osserva t-tabella tal-konnessjonijiet waqt li ż-żewġ klijenti jdawlu. Jekk dejjem l-ewwel host biss ikollu l-immappjar, ir-router wasal għall-limitu ta' dak li jappoġġja u l-ebda setting tal-klijent mhi se ċċaqilqu.

Ipprova liema nofs qed jonqos

Ikkonferma li t-TCP 1723 jasal qabel ma tbiddel xi ħaġa fuq ir-router, għax dik it-tweġiba tiddetermina liema nofs qed tittestja. Mexxi dawn mill-klijent Windows kontra ismek tas-server stess. L-ewwel jipprintja jekk il-port weġibx, u t-tieni jdawwal mingħajr dialogu, li jagħmel l-attentati ripetuti komparabbli.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Riżultat veru fit-test tal-port ifisser li l-kanal tal-kontroll huwa miftuħ u li GRE huwa l-aħħar suspettat. Riżultat falz ifisser li r-routing, filtru jew it-trasferiment huma miksura, u l-ebda bidla fil-GRE mhi se ssalvah. In-naħa tad-data trid tiġi osservata fejn tista' tidher, fis-server jew fir-router.

tcpdump -ni any proto 47

L-ekwivalenti f'Wireshark huwa l-filtru tal-wiri ip proto 47, li huwa eħfef li tagħtih lil xi ħadd li mhux komdu fuq il-linja tal-kmand. GRE li jasal mingħajr xejn ma joħroġ fit-tweġiba jfisser li l-passaġġ tar-ritorn jeħtieġ tiswija.

X'jissewwi l-iżball fir-realtà

Fejn ir-router juri s-setting, ixgħel il-passthrough tal-PPTP, jew ippermetti l-protokoll 47 b'mod espliċitu fuq firmware li jaċċetta regoli. Fuq RouterOS ir-regola tat-trasferiment tqabbel il-protokoll direttament, li trasferiment ibbażat fuq il-portijiet qatt ma seta' jagħmel. Il-firmware tal-konsumatur normalment jaħbi l-istess deċiżjoni wara kaxxa, xi drabi taħt is-settings tas-sigurtà u mhux taħt it-trasferiment tal-portijiet. Jekk ma teżistix tali kontroll, xejn fuq il-klijent mhu se jikkumpensa għaliha.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

Is-sostituzzjoni tal-PPTP hija l-għażla l-oħra u spiss l-irħas waħda. Router li jtemm il-VPN huwa stess jevita NAT doppju għall-klijenti li jidħlu, u protokoll li NAT ibbażat fuq il-portijiet diġà jittratta ma jeħtieġ l-ebda passthrough: OpenVPN fuq UDP, SSTP fuq TCP 443 jew L2TP/IPsec b'NAT-T li jgeżwer l-ESP f'UDP 4500. Il-PPTP jiddependi wkoll fuq MS-CHAPv2, li d-dgħufijiet dokumentati tiegħu jagħmluh għażla fqira għal implimentazzjoni ġdida anki wara li l-iżball jisparixxi.

Ikteb liema regola għamlet id-differenza, għax l-istess sit se jiltaqa' mal-istess limitu meta t-tieni utent jitlob aċċess. Tiswija fil-livell tal-protokoll tappartjeni għan-noti tan-netwerk, fejn se jħares l-inġinier li jmiss.