RouterOS OpenVPN u NPS: issettja user-auth-method, mhux auth

Fuq RouterOS, auth jagħżel id-digest tat-tunnel filwaqt li user-auth-method jiddeċiedi kif tiġi vverifikata t-talba RADIUS. Allinja t-tieni mal-politika NPS.

RouterOS jista' jilħaq NPS b'login OpenVPN u xorta jiġi miċħud, u l-kawża tas-soltu hija żewġ settings li isimhom it-tnejn jidhru bħal awtentikazzjoni. Waħda tagħżel digest kriptografiku għat-tunnel; l-oħra tiddeċiedi kif l-identità tal-utent tiġi ppreżentata lil RADIUS. Tibdil fid-digest qatt mhu se jbiddel talba PAP f'MS-CHAPv2, kemm-il darba jerġa' jibda s-servizz. Il-lista ta' kontroll hawn taħt tifred it-tnejn, imbagħad issegwi login wieħed fallut permezz tal-politika NPS li ġġudikatuh.

Pass 1: aqra iż-żewġ settings qabel ma tbiddel waħda minnhom

Ipprintja l-konfigurazzjoni effettiva tas-server OpenVPN fuq ir-router li jtemm it-tunnel, mhux minn backup jew post tal-forum ikkuppjat. Iż-żewġ oqsma li jinteressawk ġeneralment ikunu fl-istess menu u jinqraw bħallikieku kienu alternattivi. Mhumiex: waħda hija dwar il-kanal tad-dejta, l-oħra dwar l-iskambju tal-identità.

/interface ovpn-server server print
/interface ovpn-server server export

Il-qasam auth jelenka digests bħal sha1 u sha256 u jikkontrolla l-HMAC li jawtentika l-pakketti tat-tunnel. Il-qasam user-auth-method jagħżel pap jew mschap2 u jiddeċiedi kif ir-router jippreżenta l-identità tal-utent lil RADIUS. Tibdil fid-digest ma jistax jibdel it-tieni imġieba, u għalhekk l-istess ċaħda tibqa' tgħix wara kull aġġustament tal-ewwel.

Ieqaf hawn jekk il-verżjoni tiegħek ma tesponix user-auth-method xejn. Il-binjiet eqdem ta' RouterOS jistgħu ma joffruhx fuq is-server OpenVPN, u t-tiswija tappartjeni għal verżjoni li tista' tappoġġja, mhux għal kmand ikkuppjat minn waħda ġdida.

Pass 2: sib il-politika li tassew ċaħdet il-login

Fuq in-naħa NPS, talba ta' konnessjoni tiġi evalwata kontra l-politiki tan-netwerk, u l-metodu ta' awtentikazzjoni msemmi fil-politika li taqbel irid ikun wieħed li l-klijent tassew offra. Ikkorrela login wieħed fallut skont il-ħin u l-utent minflok ma taqra għadd sommarju. Il-log tas-sigurtà jirreġistra t-talbiet mogħtija u miċħuda b'kodiċi tar-raġuni, li jgħidlek ħafna aktar mill-linja ġenerika tal-falliment tar-router.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Aqra tliet affarijiet fl-avveniment: l-isem tal-politika li taqbel, il-metodu ta' awtentikazzjoni u l-kodiċi tar-raġuni. Politika li teħtieġ MS-CHAPv2 tiċħad talba PAP anki meta l-password hija korretta, u politika li teħtieġ kont tad-dominju tiċħad wieħed lokali. L-entrata tal-klijent RADIUS trid ukoll taqbel mal-indirizz tas-sors tar-router, inkella t-talba tiġi skartata qabel ma tiġi kkonsultata xi politika. Xejn minn dan ma jidher fil-log OpenVPN.

Ieqaf hawn jekk it-talba qatt ma tasal għand NPS. Dik hija problema ta' sigriet kondiviż, indirizz tal-klijent jew UDP 1812, u t-tibdil tal-metodi ta' awtentikazzjoni mhux se jsewwiha.

Pass 3: ibdel metodu wieħed, fuq iż-żewġ naħat

Jekk id-disinn approvat huwa MS-CHAPv2, issettjah fuq ir-router u kkonferma li l-politika li taqbel taċċettah. Ibdel naħa waħda, erġa' ittestja, imbagħad ibdel l-oħra; li tbiddel it-tnejn f'daqqa jħallik ma tistax tgħid liema kienet importanti.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Tixgħelx kull metodu aktar dgħajjef fuq NPS biex l-iżball jisparixxi. Il-backend irid ikollu materjal li l-metodu magħżul jista' jivverifika: MS-CHAPv2 jeħtieġ aċċess għall-password jew għad-dominju, u politika ma tistax tivvinta dak il-materjal. It-twessigħ tal-politika jwessa' wkoll dak li attakkant jista' jipprova kontra l-istess kont. Irreġistra l-metodu, l-isem tal-politika u r-referenza tal-bidla flimkien, biex il-persuna li jmiss tiret deċiżjoni u mhux suppożizzjoni.

Ħalli l-validazzjoni taċ-ċertifikat tat-tunnel eżatt kif kienet. Metodu ta' identità mhuwiex sostitut għall-identità tas-server, u li tnaqqas il-kontrolli TLS biex tgħaddi prova jbiddel problema waħda ma' waħda agħar.

Pass 4: ittestja tliet logins u permess wieħed

Ittestja utent permess, password ħażina u utent eskluż, kull wieħed f'sessjoni friska. L-ewwel jipprova l-mogħdija, it-tieni jipprova li l-verifika tal-identità hija reali, u t-tielet jipprova li l-politika għadha teskludi min għandha teskludi. Sessjoni fil-cache tista' taħbi t-tlieta, għalhekk aqta' l-konnessjoni bejn il-provi.

/log print where topics~"ovpn"
/radius monitor 0

Is-suċċess tal-awtentikazzjoni mhuwiex it-tmiem tal-lista. Iċċekkja l-indirizz li rċieva l-klijent u r-riżorsi li dak l-indirizz jista' jilħaq, għax utent jista' jawtentika b'mod korrett u xorta jaqa' fil-pool ħażin. Jekk l-indirizz assenjat huwa ħażin, il-problema tinsab fil-profil jew fl-attributi tar-risposta RADIUS, mhux fil-metodu. Ikkonferma t-tnejn qabel ma tagħlaq it-ticket.

Il-lista tkun kompluta meta s-setting tar-router u l-politika NPS isemmu l-istess metodu, utent permess jgħaqqad b'sessjoni friska, password ħażina tiġi miċħuda, utent eskluż jibqa' eskluż, u l-indirizz assenjat jaqbel mal-pool maħsub. Xejn inqas iħalli l-login li jmiss għall-kumbinazzjoni.

Artikli relatati