It-tisħiħ tal-VPN fuq Windows: sewwi l-awtentikazzjoni qabel it-tunnel

Is-server VPN tiegħek fuq Windows jitlob isem tal-utent u password, u dik id-djalogu waħda taħbi tliet dmirijiet mhux relatati. Wieħed jipprova min hu l-persuna, wieħed iżomm dak il-prova milli tintuża mill-ġdid minn xi ħadd li jħares il-wajer, u wieħed jiddeċiedi liema indirizzi jista' jilħaq wara. Ħafna minn dawk li jinstallaw fuq skala żgħira jsaħħu l-ewwel it-tunnel u jħallu l-ewwel żewġ dmirijiet fuq il-valuri awtomati tagħhom, u dan huwa l-ordni żbaljat.

Aħdem bl-ordni li biha jaħdem l-attakkant. L-ewwel dak li jista' jinqabad mill-wajer. Imbagħad dak li jista' jerġa' jintuża aktar tard b'dak ir-rekord. Fl-aħħar, dak li attakkant awtentikat jista' jilħaq meta jkun ġewwa.

Tliet dmirijiet, djalogu wieħed

L-identità hija l-parti li n-nies jaħsbu dwarha, u hija biss terz tal-problema. Il-prova tal-identità trid tiflaħ għal osservatur li jirrekordja l-iskambju u jerġa' jipprova aktar tard. L-awtorizzazzjoni hija deċiżjoni separata li jieħu s-server wara li l-identità tiġi stabbilita, u Windows iżommha fi servizz differenti minn dak li jivvalida l-kredenzjali.

Meta t-tlieta jgħixu f'barmil mentali wieħed, ir-riżultat tas-soltu huwa server li jawtentika b'saħħtu u mbagħad iħalli lill-utent jilħaq kollox. Li dan isewwi aktar tard huwa aktar diffiċli milli tiddeċiedi l-politika issa, għax sa dakinhar il-profil tal-firewall, il-pool tal-indirizzi u r-rotot kollha jkunu qed jikkodifikaw is-suppożizzjoni l-qadima.

Aqsam it-tlieta fin-noti tiegħek qabel ma tmiss xi settings, imbagħad sewwihom mill-iżjed rabta dgħajfa 'l fuq.

Għaliex MS-CHAPv2 ma jiflaħx għal test ta' tqegħid mill-ġdid

Jekk is-server għadu jaċċetta PPTP ma' MS-CHAPv2, it-tunnel mhux qed jipproteġi l-password f'xi sens sinifikanti. L-isfida u r-risposta jistgħu jinqabdu u jiġu attakkati offline, u fl-2012 servizz pubbliku ta' ksur wera rkupru minn handshake bħal dan fi ftit aktar minn jum għal password tipika. Password itwal u aktar kumplessa tgħolli l-ispiża; ma tneħħix il-materjal li l-attakkant jeħtieġ min-netwerk.

Il-proprjetà li trid hija kredenzjali li ma tistax terġa' tintuża. EAP-TLS biċ-ċertifikati tal-klijent jagħti lil kull apparat l-identità tiegħu stess u jħallik tħassar eżattament apparat wieħed.

L-iskjerament taċ-ċertifikati huwa xogħol veru: CA privata, mogħdija ta' tħassir li l-klijenti jiċċekkjaw, u pjan ta' tiġdid li jiflaħ għaċ-ċaqliq tal-persunal. Ittratta dak ix-xogħol bħala l-proġett u mhux bħala ostaklu bejnek u tunnel li jaħdem. Ibbaġitja għalih kif tibbaġitja għal sostituzzjoni tal-firewall. Password maqsuma hija irħas biss sa l-ewwel tħassir.

Ċavetta maqsuma minn qabel tawtentika l-par, mhux il-persuna

L2TP/IPsec b'ċavetta maqsuma minn qabel tipprova li żewġ gateways jafu l-istess sigriet. Ma tgħid xejn dwar liema bniedem qed jgħaddi, u ma tistax tiddistingwi impjegat minn ieħor f'dak il-livell. Uża valur każwali twil, ferm aktar mill-għaxar karattri li jissuġġerixxu xi gwidi, għax kulmin jaqbad il-handshake jista' jattakka ċ-ċavetta offline.

Kull klijent fuq dak il-profil jaqsam is-sigriet, għalhekk li tneħħi persuna waħda jfisser li terġa' tqassmu lil kulmin jibqa'. Żomm pass separat ta' awtentikazzjoni tal-utent fuq is-sigriet fil-livell tal-magna, u mur għaċ-ċertifikati hekk kif il-popolazzjoni tal-klijenti tikber. Ċavetta maqsuma minn qabel flimkien ma' MS-CHAPv2 huma żewġ saffi dgħajfa, u t-tieni waħda tħassar l-ewwel.

L-awtorizzazzjoni tappartjeni għal Network Policy Server

NPS fuq Windows jiddeċiedi min jista' jgħaddi, u jagħmel dan wara li l-awtentikazzjoni tkun diġà rnexxiet. Dik is-separazzjoni hija l-aktar kontroll utli tat-tisħiħ fil-prodott, u ħafna installazzjonijiet iħalluh ma jmissuhx.

Uża kundizzjonijiet tal-politika li jirriflettu restrizzjonijiet reali: sħubija fil-grupp, it-tieqa tal-ħin meta l-appoġġ ikollu persunal, u l-istat tal-apparat minn verifika tas-saħħa. Żid tieni fattur fejn id-dejta tiġġustifika l-frizzjoni, u ftakar li l-politika tiġi evalwata għal kull tentattiv ta' konnessjoni, li jagħmilha kontroll ħaj u mhux dokument.

Il-kontabilità RADIUS tagħtik ukoll rekord wieħed ta' min għadda u meta. Dak il-log huwa d-differenza bejn reviżjoni ta' inċident u stima, u jeżisti kemm jekk xi ħadd jaqrah u kemm jekk le.

Illimita dak li log-in b'suċċess jista' jilħaq

L-adapter VPN għandu jinżel fi profil tal-firewall li jippermetti s-servizzi li l-irwol tiegħu jeħtieġ u mhux is-subnet kollu. Il-kwistjoni tar-rotot hija separata mill-ifflitrar. Tunnel sħiħ jipproteġi l-apparat tal-klijent u jgħaddi kull byte mill-link 'il fuq tiegħek, filwaqt li tunnel maqsum iżomm it-traffiku lokali lokali u jesponi l-apparat għal kull netwerk li jkun fih.

L-ebda waħda miż-żewġ għażliet mhija awtomati tas-sigurtà. It-tnejn jeħtieġ li jinkitbu ħdejn il-profil tal-firewall li jassumu.

Ivverifika l-mogħdijiet tal-falliment

Ittestja x'għandu jinkiser: password ħażina, ċertifikat skadut, apparat imħassar, utent barra mill-grupp. Kull wieħed għandu jonqos f'punt differenti, u l-log għandu jgħid liema kien. Mexxi s-sett l-ewwel fuq kont tat-test, imbagħad erġa' għamlu għal utent reali. Ċaħda li tasal fil-log tal-avvenimenti mingħajr raġuni tiswa li tiġi ssewwija ferm qabel ma jkollok bżonn dak ir-rekord.

Imbagħad ikkonferma liema portijiet huma ppubblikati u għaliex. PPTP jeħtieġ TCP 1723 u GRE bħala protokoll IP u mhux bħala port, IKEv2 jeħtieġ UDP 500 u 4500, u L2TP jeħtieġ UDP 1701 flimkien ma' IPsec. Li tesponi interface tal-ġestjoni sabiex klijent jgħaddi mhijiex tiswija, hija t-tieni inċident li jistenna li jiġi skopert.

Fl-aħħar, iddeċiedi x'jirrekordja s-server u għal kemm żmien. Punt tat-tmiem mingħajr storja ta' awtentikazzjoni ma jistax iwieġeb l-ewwel domanda wara inċident, jiġifieri jekk it-tentattiv kien qatt awtorizzat.