Avvikling av PPTP/MS-CHAPv2: runbok for ein gamal VPN

Passord på tjue teikn, som blir roterte kvar månad og oppbevarte i eit kvelv, gjer ikkje ein PPTP-tenar med MS-CHAPv2 om til ein moderne VPN. Passordet er ein inngang til ein utveksling der svakheita ligg i utvekslinga sjølv. Denne runboka er for den som har arva tenaren og må flytte brukarane bort frå han utan å kutte nettstaden som er avhengig av han. Gå gjennom trinna i rekkefølgje, for kvart trinn lèt att ein registrering du vil trengje når nokon spør kvifor tilgangen plutseleg endra seg.

Skriv ned stakken før du rører noko

Tre lag blir smelta saman i ordet PPTP, og kvart lag feilar på sin måte. Tunnelen er PPTP sjølv, GRE pluss TCP 1723. Autentiseringa er den PPP-metoden tenaren tilbyr, her MS-CHAPv2. Koplinga si vern er MPPE, der nøklane blir leidde ut frå den autentiseringsutvekslinga. Å nemne alle tre hindrar at ei seinare retting landar på feil lag.

Les den levande konfigurasjonen i staden for å stole på ei wikiside, og noter fila, lyttaren og dei siste sesjonane som autentiserte seg.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

På ei Windows-rolle for fjern tilgang kjem den same kartlegginga frå to kommandoar, og den andre tel fordi ei rolle kan annonsere fleire metodar samstundes medan klientane i felt berre nokon gong forhandlar om den svakaste.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Avgjer kva tunnelen faktisk ber i dag

List opp brukarane før du vel ein erstatning: omreisande berbare maskiner, ein filialruter, ein betalingsterminal, eit sett feltnettbrett. Ein brukar som berre treng å nå ein intern vert, er lett å flytte. Ein brukar som er innebygd i maskinvare du ikkje kan reflashe, kan trengje ein mellomliggjande gateway i staden for ein klientoppgradering, og den avgjerda høyrer heime i planen, ikkje midt i overgangen.

Spør så kva ein åtakar som kan observere eller påverke innloggingsutvekslinga ville få. Med MS-CHAPv2 omfattar svaret materiale som gjer det mogleg å gjenopprette passordet til brukaren utan nett, og nettopp derfor reparerer ikkje lengd og rotasjon designet: hemmelegheita som blir gjenoppretta, er gyldig på kvart system der brukaren brukte ho på nytt.

MPPE arvar den same svakheita, sidan nøklane kjem frå den utvekslinga, og ho gjev deg ikkje per-pakke-integritet og gjentakingsåtferd som ein moderne AEAD-chiffer. Ein sesjon som autentiserer reint, har prova kompatibilitet med dei konfigurerte kontrollane og ingenting meir.

Korkje ein kort lunsjpause eller eit lite brukartal gjer ein kryptografisk eigenskap om til ein politisk eigenskap.

Køyr migreringa innanfor eitt vedlikehdsvindauge

Set opp erstatninga, prov ho med éin pilotgruppe, og stopp deretter den gamle lyttaren i staden for å la han stå som ein stille reserve. Ein reserve som alle framleis kan nå, er ikkje ei migrering, og han held den svake utvekslinga tilgjengeleg nettopp for dei brukarane som aldri gidd å byte.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Lat att brannmurvegen i same vindauge. GRE har ingen port å hugse, så ein regel som tillèt protokoll 47 etter nummer, er lett å oversjå og lèt tenesta vere nåbar også etter at daemonen er borte. Registrer regelen du fjerna, den førre plasseringa hans og årsaka, slik at ein seinare endringsgjennomgang ikkje gjenopprettar han ved eit uhell.

Handter påloggingsinformasjon åtskild frå konfigurasjonen. Fjerning av ein klientprofil er ikkje ein tilbakekalling, og ein konto som framleis autentiserer andre stader, er ikkje avvikla.

Verifiser at erstatninga gjer jobbane PPTP gjorde

Sjekklista er ikkje “koplar han til”. Ho er om autentisering, adressetildeling, DNS-oppslag, ruterval, gjenoppkoplingsåtferd og peer-verifisering alle framleis held under erstatninga. Test kvar på ein pilotelining, i den rekkjefølgja, og skriv det observerte resultatet ved sida av forventninga.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Ei adresse på grensesnittet provar at forhandlinga vart fullført. Ho provar ikkje at fjernsida autoriserte ruta du forventar, og oppslaget ovanfor svarar berre for denne verten, ikkje for eit videresendt LAN. Eit resolver-svar provar at ein resolver er nåbar, ikkje at delt DNS-politikk sender dei rette namna dit.

Test gjenoppkopling til slutt, for det er der dei fleste erstatningane regresserer: set ei berbar maskin i dvale, byt nettverk, og stadfest at tunnelen blir gjenoppretta utan å late etter seg utdaterte ruter.

Tilbakerulling, tilbakekalling og registreringa du lèt etter deg

Tilbakerulling gjenopprettar tenesta; ho gjenopprettar ikkje tryggleiken, og skilnaden må seiast høgt før vindauget opnar. Viss den nye vegen feilar, hent brukarane tilbake via eit andre moderne endepunkt eller ein mellombels gateway, ikkje ved å slå PPTP på att for alle. Å halde éin naudveg på den gamle protokollen aukar eksponeringa du nettopp dokumenterte.

Etter overgangen, tilbakekall kontoane som autentiserte over PPTP, la dei lagra profilane deira gå ut, og stadfest at GRE-regelen er borte frå kvar kanteining, inkludert katastrofegjenopprettingskopien ingen hugsar.

Lat etter deg ei kort registrering: protokollane du fann, datoen kvar lyttar stoppa, klientversjonane erstatninga støttar, og eigaren som kan opne avgjerda att. Passordhygiene betyr framleis noko etterpå, men som hygiene på ein protokoll som fortener det, ikkje som eit argument for å halde den gamle i live.