RouterOS OpenVPN ਅਤੇ NPS: auth ਨਹੀਂ, user-auth-method ਸੈੱਟ ਕਰੋ

RouterOS OpenVPN ਲੌਗਇਨ ਨਾਲ NPS ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਰੱਦ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਆਮ ਕਾਰਨ ਦੋ ਸੈਟਿੰਗਾਂ ਹਨ ਜਿਨ੍ਹਾਂ ਦੇ ਨਾਮ ਦੋਵੇਂ ਪ੍ਰਮਾਣਿਕਤਾ ਵਰਗੇ ਸੁਣਾਈ ਦਿੰਦੇ ਹਨ। ਇੱਕ ਟਨਲ ਲਈ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਡਾਇਜੈਸਟ ਚੁਣਦੀ ਹੈ; ਦੂਜੀ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਵਰਤੋਂਕਾਰ ਦੀਆਂ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ RADIUS ਨੂੰ ਕਿਵੇਂ ਪੇਸ਼ ਕੀਤੀਆਂ ਜਾਣ। ਡਾਇਜੈਸਟ ਬਦਲਣ ਨਾਲ PAP ਬੇਨਤੀ ਕਦੇ ਵੀ MS-CHAPv2 ਨਹੀਂ ਬਣੇਗੀ, ਸੇਵਾ ਕਿੰਨੀ ਵਾਰ ਵੀ ਮੁੜ ਸ਼ੁਰੂ ਹੋਵੇ। ਹੇਠਾਂ ਦਿੱਤੀ ਚੈੱਕਲਿਸਟ ਦੋਵਾਂ ਨੂੰ ਵੱਖ ਕਰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਇੱਕ ਅਸਫਲ ਲੌਗਇਨ ਨੂੰ ਉਸ NPS ਨੀਤੀ ਰਾਹੀਂ ਟਰੇਸ ਕਰਦੀ ਹੈ ਜਿਸਨੇ ਇਸਦਾ ਮੁਲਾਂਕਣ ਕੀਤਾ।

ਕਦਮ 1: ਕੋਈ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਸੈਟਿੰਗਾਂ ਪੜ੍ਹੋ

ਟਨਲ ਖਤਮ ਕਰਨ ਵਾਲੇ ਰਾਊਟਰ 'ਤੇ ਪ੍ਰਭਾਵੀ OpenVPN ਸਰਵਰ ਸੰਰਚਨਾ ਪ੍ਰਿੰਟ ਕਰੋ, ਬੈਕਅੱਪ ਜਾਂ ਕਾਪੀ ਕੀਤੀ ਫੋਰਮ ਪੋਸਟ ਤੋਂ ਨਹੀਂ। ਤੁਹਾਡੇ ਲਈ ਮਹੱਤਵਪੂਰਨ ਦੋ ਫੀਲਡ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕੋ ਮੀਨੂ ਵਿੱਚ ਹੁੰਦੇ ਹਨ ਅਤੇ ਵਿਕਲਪਾਂ ਵਾਂਗ ਪੜ੍ਹੇ ਜਾਂਦੇ ਹਨ। ਉਹ ਵਿਕਲਪ ਨਹੀਂ ਹਨ: ਇੱਕ ਡੇਟਾ ਚੈਨਲ ਬਾਰੇ ਹੈ, ਦੂਜਾ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਬਾਰੇ।

/interface ovpn-server server print
/interface ovpn-server server export

auth ਫੀਲਡ sha1 ਅਤੇ sha256 ਵਰਗੇ ਡਾਇਜੈਸਟ ਸੂਚੀਬੱਧ ਕਰਦੀ ਹੈ ਅਤੇ ਟਨਲ ਪੈਕਟ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਵਾਲੇ HMAC ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦੀ ਹੈ। user-auth-method ਫੀਲਡ pap ਜਾਂ mschap2 ਚੁਣਦੀ ਹੈ ਅਤੇ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਰਾਊਟਰ ਵਰਤੋਂਕਾਰ ਦੀਆਂ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ RADIUS ਨੂੰ ਕਿਵੇਂ ਪੇਸ਼ ਕਰੇਗਾ। ਡਾਇਜੈਸਟ ਬਦਲਾਅ ਦੂਜੇ ਵਿਵਹਾਰ ਨੂੰ ਬਦਲ ਨਹੀਂ ਸਕਦਾ, ਇਸ ਲਈ ਪਹਿਲੇ 'ਤੇ ਹਰ ਸਮਾਯੋਜਨ ਤੋਂ ਬਾਅਦ ਵੀ ਉਹੀ ਇਨਕਾਰ ਬਚਿਆ ਰਹਿੰਦਾ ਹੈ।

ਜੇ ਤੁਹਾਡੀ ਰੀਲੀਜ਼ user-auth-method ਬਿਲਕੁਲ ਨਹੀਂ ਦਰਸਾਉਂਦੀ ਤਾਂ ਇੱਥੇ ਰੁਕੋ। ਪੁਰਾਣੀਆਂ RouterOS ਬਿਲਡਾਂ ਇਸਨੂੰ OpenVPN ਸਰਵਰ 'ਤੇ ਪੇਸ਼ ਨਹੀਂ ਕਰ ਸਕਦੀਆਂ, ਅਤੇ ਸੁਧਾਰ ਨਵੀਂ ਤੋਂ ਕਾਪੀ ਕੀਤੇ ਕਮਾਂਡ ਵਿੱਚ ਨਹੀਂ, ਸਗੋਂ ਤੁਸੀਂ ਸਹਾਇਤਾ ਕਰ ਸਕਦੇ ਹੋ ਉਸ ਰੀਲੀਜ਼ ਵਿੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

ਕਦਮ 2: ਉਹ ਨੀਤੀ ਲੱਭੋ ਜਿਸਨੇ ਲੌਗਇਨ ਅਸਲ ਵਿੱਚ ਰੱਦ ਕੀਤਾ

NPS ਪਾਸੇ, ਕਨੈਕਸ਼ਨ ਬੇਨਤੀ ਦਾ ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਵਿਰੁੱਧ ਮੁਲਾਂਕਣ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਮਿਲਦੀ ਨੀਤੀ ਵਿੱਚ ਦੱਸੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਉਹ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਜੋ ਕਲਾਇੰਟ ਨੇ ਅਸਲ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਸੀ। ਸੰਖੇਪ ਗਿਣਤੀ ਪੜ੍ਹਨ ਦੀ ਬਜਾਏ ਇੱਕ ਅਸਫਲ ਲੌਗਇਨ ਨੂੰ ਸਮੇਂ ਅਤੇ ਵਰਤੋਂਕਾਰ ਨਾਲ ਜੋੜੋ। ਸੁਰੱਖਿਆ ਲੌਗ ਮਨਜ਼ੂਰ ਅਤੇ ਰੱਦ ਕੀਤੀਆਂ ਬੇਨਤੀਆਂ ਕਾਰਨ ਕੋਡ ਨਾਲ ਦਰਜ ਕਰਦਾ ਹੈ, ਜੋ ਰਾਊਟਰ ਦੀ ਆਮ ਅਸਫਲਤਾ ਲਾਈਨ ਨਾਲੋਂ ਬਹੁਤ ਕੁਝ ਦੱਸਦਾ ਹੈ।

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

ਘਟਨਾ ਵਿੱਚ ਤਿੰਨ ਚੀਜ਼ਾਂ ਪੜ੍ਹੋ: ਮਿਲਦੀ ਨੀਤੀ ਦਾ ਨਾਮ, ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਅਤੇ ਕਾਰਨ ਕੋਡ। MS-CHAPv2 ਦੀ ਲੋੜ ਵਾਲੀ ਨੀਤੀ ਪਾਸਵਰਡ ਸਹੀ ਹੋਣ 'ਤੇ ਵੀ PAP ਬੇਨਤੀ ਰੱਦ ਕਰਦੀ ਹੈ, ਅਤੇ ਡੋਮੇਨ ਖਾਤੇ ਦੀ ਲੋੜ ਵਾਲੀ ਨੀਤੀ ਸਥਾਨਕ ਖਾਤਾ ਰੱਦ ਕਰਦੀ ਹੈ। RADIUS ਕਲਾਇੰਟ ਐਂਟਰੀ ਵੀ ਰਾਊਟਰ ਦੇ ਸਰੋਤ ਪਤੇ ਨਾਲ ਮੇਲ ਖਾਣੀ ਚਾਹੀਦੀ ਹੈ, ਨਹੀਂ ਤਾਂ ਕਿਸੇ ਵੀ ਨੀਤੀ ਦੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਬੇਨਤੀ ਸੁੱਟ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ OpenVPN ਲੌਗ ਵਿੱਚ ਨਹੀਂ ਦਿਖਦਾ।

ਜੇ ਬੇਨਤੀ ਕਦੇ NPS ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦੀ ਤਾਂ ਇੱਥੇ ਰੁਕੋ। ਇਹ ਸਾਂਝੇ ਭੇਦ, ਕਲਾਇੰਟ ਪਤੇ ਜਾਂ UDP 1812 ਦੀ ਸਮੱਸਿਆ ਹੈ, ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀਆਂ ਬਦਲਣ ਨਾਲ ਇਹ ਠੀਕ ਨਹੀਂ ਹੋਵੇਗੀ।

ਕਦਮ 3: ਦੋਵੇਂ ਪਾਸਿਆਂ 'ਤੇ ਇੱਕ ਵਿਧੀ ਬਦਲੋ

ਜੇ ਮਨਜ਼ੂਰ ਡਿਜ਼ਾਈਨ MS-CHAPv2 ਹੈ, ਤਾਂ ਇਸਨੂੰ ਰਾਊਟਰ 'ਤੇ ਸੈੱਟ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਮਿਲਦੀ ਨੀਤੀ ਇਸਨੂੰ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ। ਇੱਕ ਪਾਸਾ ਬਦਲੋ, ਦੁਬਾਰਾ ਜਾਂਚੋ, ਫਿਰ ਦੂਜਾ ਬਦਲੋ; ਦੋਵੇਂ ਇਕੱਠੇ ਬਦਲਣ ਨਾਲ ਤੁਸੀਂ ਦੱਸ ਨਹੀਂ ਸਕੋਗੇ ਕਿ ਕਿਹੜਾ ਮਹੱਤਵਪੂਰਨ ਸੀ।

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

ਗਲਤੀ ਮਿਟਾਉਣ ਲਈ NPS 'ਤੇ ਹਰ ਕਮਜ਼ੋਰ ਵਿਧੀ ਨੂੰ ਸਮਰੱਥ ਨਾ ਕਰੋ। ਬੈਕਐਂਡ ਕੋਲ ਅਜਿਹੀ ਸਮੱਗਰੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਜੋ ਚੁਣੀ ਵਿਧੀ ਜਾਂਚ ਸਕੇ: MS-CHAPv2 ਨੂੰ ਪਾਸਵਰਡ ਜਾਂ ਡੋਮੇਨ ਤੱਕ ਪਹੁੰਚ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਨੀਤੀ ਉਹ ਸਮੱਗਰੀ ਘੜ ਨਹੀਂ ਸਕਦੀ। ਨੀਤੀ ਨੂੰ ਚੌੜਾ ਕਰਨ ਨਾਲ ਇਹ ਵੀ ਚੌੜਾ ਹੁੰਦਾ ਹੈ ਕਿ ਹਮਲਾਵਰ ਉਸੇ ਖਾਤੇ ਵਿਰੁੱਧ ਕੀ ਅਜ਼ਮਾ ਸਕਦਾ ਹੈ। ਵਿਧੀ, ਨੀਤੀ ਦਾ ਨਾਮ ਅਤੇ ਬਦਲਾਅ ਸੰਦਰਭ ਇਕੱਠੇ ਦਰਜ ਕਰੋ, ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਅੰਦਾਜ਼ੇ ਦੀ ਬਜਾਏ ਫੈਸਲਾ ਵਿਰਾਸਤ ਵਿੱਚ ਪਾਏ।

ਟਨਲ ਦੀ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਬਿਲਕੁਲ ਪਹਿਲਾਂ ਵਾਂਗ ਰੱਖੋ। ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਵਿਧੀ ਸਰਵਰ ਪਛਾਣ ਦਾ ਬਦਲ ਨਹੀਂ ਹੈ, ਅਤੇ ਜਾਂਚ ਪਾਸ ਕਰਾਉਣ ਲਈ TLS ਜਾਂਚਾਂ ਘਟਾਉਣਾ ਇੱਕ ਸਮੱਸਿਆ ਦੇ ਬਦਲੇ ਵੱਧ ਖਰਾਬ ਸਮੱਸਿਆ ਲਿਆਉਂਦਾ ਹੈ।

ਕਦਮ 4: ਤਿੰਨ ਲੌਗਇਨ ਅਤੇ ਇੱਕ ਇਜਾਜ਼ਤ ਜਾਂਚੋ

ਮਨਜ਼ੂਰ ਵਰਤੋਂਕਾਰ, ਗਲਤ ਪਾਸਵਰਡ ਅਤੇ ਬਾਹਰ ਕੀਤੇ ਵਰਤੋਂਕਾਰ ਦੀ ਜਾਂਚ ਕਰੋ, ਹਰ ਇੱਕ ਨੂੰ ਨਵੇਂ ਸੈਸ਼ਨ ਵਿੱਚ। ਪਹਿਲਾ ਰਾਹ ਸਾਬਤ ਕਰਦਾ ਹੈ, ਦੂਜਾ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਜਾਂਚ ਅਸਲੀ ਹੈ, ਅਤੇ ਤੀਜਾ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਨੀਤੀ ਅਜੇ ਵੀ ਉਨ੍ਹਾਂ ਨੂੰ ਬਾਹਰ ਰੱਖਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ। ਕੈਸ਼ ਕੀਤਾ ਸੈਸ਼ਨ ਤਿੰਨੇ ਲੁਕਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਕੋਸ਼ਿਸ਼ਾਂ ਵਿਚਕਾਰ ਡਿਸਕਨੈਕਟ ਕਰੋ।

/log print where topics~"ovpn"
/radius monitor 0

ਸਫਲ ਪ੍ਰਮਾਣਿਕਤਾ ਚੈੱਕਲਿਸਟ ਦਾ ਅੰਤ ਨਹੀਂ ਹੈ। ਕਲਾਇੰਟ ਨੂੰ ਮਿਲਿਆ ਪਤਾ ਅਤੇ ਉਸ ਪਤੇ ਤੱਕ ਪਹੁੰਚਯੋਗ ਸਰੋਤ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਵਰਤੋਂਕਾਰ ਸਹੀ ਢੰਗ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਹੋ ਕੇ ਵੀ ਗਲਤ ਪੂਲ ਵਿੱਚ ਪੈ ਸਕਦਾ ਹੈ। ਜੇ ਨਿਰਧਾਰਿਤ ਪਤਾ ਗਲਤ ਹੈ, ਤਾਂ ਸਮੱਸਿਆ ਵਿਧੀ ਵਿੱਚ ਨਹੀਂ, ਪਰੋਫਾਈਲ ਜਾਂ RADIUS ਜਵਾਬ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਵਿੱਚ ਹੈ। ਟਿਕਟ ਬੰਦ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

ਚੈੱਕਲਿਸਟ ਉਦੋਂ ਪੂਰੀ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਰਾਊਟਰ ਸੈਟਿੰਗ ਅਤੇ NPS ਨੀਤੀ ਇੱਕੋ ਵਿਧੀ ਦਾ ਨਾਮ ਲੈਂਦੇ ਹਨ, ਮਨਜ਼ੂਰ ਵਰਤੋਂਕਾਰ ਨਵੇਂ ਸੈਸ਼ਨ ਨਾਲ ਜੁੜਦਾ ਹੈ, ਗਲਤ ਪਾਸਵਰਡ ਰੱਦ ਹੁੰਦਾ ਹੈ, ਬਾਹਰ ਕੀਤਾ ਵਰਤੋਂਕਾਰ ਬਾਹਰ ਹੀ ਰਹਿੰਦਾ ਹੈ ਅਤੇ ਨਿਰਧਾਰਿਤ ਪਤਾ ਇੱਛਤ ਪੂਲ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਇਸ ਤੋਂ ਘੱਟ ਕੁਝ ਵੀ ਅਗਲੇ ਲੌਗਇਨ ਨੂੰ ਸੰਜੋਗ 'ਤੇ ਛੱਡ ਦਿੰਦਾ ਹੈ।