Herdning av Windows VPN: rett opp autentiseringa før tunnelen

Windows VPN-tenaren din ber om eit brukarnamn og eit passord, og den eine dialogen skjuler tre uavhengige plikter. Éi beviser kven personen er, éi hindrar at nokon som overvaker linja brukar beviset om att, og éi avgjer kva adresser dei kan nå etterpå. Dei fleste små installasjonar herdner tunnelen først og lèt dei to første pliktene stå på standardverdiane, og det er feil rekkjefølgje.

Arbeid i den rekkjefølgja åtakaren arbeider i. Først det som kan fangast frå linja. Deretter det som seinare kan spelast av på nytt med den opptaka. Til slutt det ein autentisert åtakar kan nå når han først er inne.

Tre plikter, éin dialog

Identitet er den delen folk tenkjer på, og han er berre ein tredjedel av problemet. Beviset for identitet må tole ein observatør som tek opp utvekslinga og prøver om att seinare. Autorisasjon er eit eige vedtak som tenaren gjer etter at identiteten er avklara, og Windows oppbevarer det i ei anna teneste enn den som validerer legitimasjon.

Når alle tre bur i éi mental bøtte, er det vanlege resultatet ein tenar som autentiserer sterkt og deretter lèt brukaren nå alt. Å rette det seinare er vanskelegare enn å avgjere policyen no, fordi brannmurprofilen, adressepoolen og rutene då alle kodar den gamle føresetnaden.

Skil dei tre i notata dine før du rører ei innstilling, og rett dei deretter frå den svakaste lenkja og oppover.

Kvifor MS-CHAPv2 ikkje toler ein gjenoppspelingstest

Viss tenaren framleis godtek PPTP med MS-CHAPv2, vernar ikkje tunnelen passordet i noka meiningsfull forstand. Utfordringa og svaret kan fangast og åtakast offline, og i 2012 viste ei offentleg knekketeneste gjenoppretting frå ein slik handtrykk på om lag ein dag for eit typisk passord. Eit lengre og meir komplekst passord aukar kostnaden; det fjernar ikkje materialet åtakaren treng frå nettet.

Eigenskapen du vil ha, er ein legitimasjon som ikkje kan spelast av på nytt. EAP-TLS med klientsertifikat gir kvar eining sin eigen identitet og lèt deg trekkje tilbake nøyaktig éi eining.

Utrulling av sertifikat er ekte arbeid: ein privat CA, ein tilbakekallingsveg som klientane kontrollerer, og ein fornyingsplan som toler utskifting av personale. Handsame det arbeidet som prosjektet og ikkje som ei hindring mellom deg og ein fungerande tunnel. Budsjetter for det slik du ville budsjettert for eit brannmurbete. Eit delt passord er berre billegare fram til den første tilbakekallinga.

Ein førehandsdelt nøkkel autentiserer paret, ikkje personen

L2TP/IPsec med ein førehandsdelt nøkkel beviser at to gatewayar kjenner den same løyndomen. Han seier ingenting om kva menneske som koplar til, og han kan ikkje skilje éin tilsett frå ein annan på det laget. Bruk ein lang tilfeldig verdi, godt over dei ti teikna nokre rettleiarar føreslår, fordi den som fangar handtrykket kan åtaka nøkkelen offline.

Kvar klient på den profilen deler løyndomen, så å fjerne éin person tyder å fordele han på nytt til alle som blir att. Hald eit eige brukarautentiseringstrinn over løyndomen på maskinnivå, og gå over til sertifikat etter kvart som klientmassen veks. Ein førehandsdelt nøkkel kombinert med MS-CHAPv2 er to svake lag, og det andre opphevar det første.

Autorisasjon høyrer heime i Network Policy Server

NPS på Windows avgjer kven som får kopie til, og det gjer han etter at autentiseringa allereie har lukkast. Den delinga er den nyttigaste herdningskontrollen i produktet, og mange installasjonar lèt han vere urørt.

Bruk policyvilkår som speglar reelle avgrensingar: gruppemedlemskap, tidsvindauget når støtta er bemanna, og einingstilstand frå ein helsesjekk. Legg til ein annan faktor der dataa rettferdiggjer friksjonen, og hugs at policyen blir vurdert for kvart tilkopingsforsøk, noko som gjer han til ein levande kontroll og ikkje eit dokument.

RADIUS-rekneskap gir deg òg éin registrering av kven som kopla til og når. Den loggen er skilnaden mellom ein hendingsgjennomgang og eit gjetting, og han finst uansett om nokon nokon gong les han.

Avgrens kva ein vellukka innlogging kan nå

VPN-adapteren bør lande i ein brannmurprofil som tillèt tenestene rolla treng i staden for heile subnettet. Rutingsspørsmålet er skilt frå filtrering. Ein full tunnel vernar klienteininga og sender kvar byte gjennom opplastingslinja di, medan ein delt tunnel held lokal trafikk lokal og utset eininga for kva nettverk ho enn er på.

Ingen av vala er ein tryggleiksstandard. Begge må skrivast ned ved sida av brannmurprofilen dei føreset.

Stadfest feilvegane

Test kva som bør bryte: eit feil passord, eit utløpt sertifikat, ei tilbaketrekt eining, ein brukar utanfor gruppa. Kvar bør feile på ein annan stad, og loggen bør seie kven det var. Køyr settet mot ein testkonto først, og gjer det om att for ein ekte brukar. Ei avvising som hamnar i hendingsloggen utan grunn er verdt å rette lenge før du treng den registreringa.

Stadfest deretter kva portar som er publiserte og kvifor. PPTP treng TCP 1723 og GRE som ein IP-protokoll i staden for ein port, IKEv2 treng UDP 500 og 4500, og L2TP treng UDP 1701 pluss IPsec. Å eksponere eit administrasjonsgrensesnitt slik at ein klient kan kopie til er ikkje ein reparasjon, det er ein andre hending som ventar på å bli oppdaga.

Til slutt, avgjer kva tenaren registrerer og kor lenge. Eit endepunkt utan autentiseringshistorikk kan ikkje svare på det første spørsmålet etter ei hending, nemleg om forsøket nokon gong var autorisert.