د PPTP/MS-CHAPv2 له منځه وړل: د زوړ VPN لپاره لارښود

شل توري پټنومونه چې هره میاشت بدلېږي او په خزانه کې ساتل کېږي، MS-CHAPv2 چلولوونکی PPTP سرور په عصري VPN نه بدلوي۔ پټنوم د یوې تبادلې ننوتنه ده چې کمزوري یې په هماغه تبادله کې ده۔ دا لارښود هغه چا لپاره دی چې هغه سرور یې میراثي ترلاسه کړی او باید کاروونکي ترې ووځي، پرته له دې چې هغه سایټ پرې کړي چې پرې تکیه دی۔ ګامونه په ترتیب سره ترسره کړئ، ځکه هر یو یو ریکارډ پریږدي چې هغه وخت به یې اړتیا وي کله چې څوک وپوښتي چې لاسرسی ناڅاپه ولې بدل شو۔

مخکې له دې چې هر څه ته لاس ووهئ، سټک ولیکئ

په PPTP کلمه کې درې طبقې یوځای کېږي او هر یوه خپله ناکامېږي۔ ټونل پخپله PPTP دی، GRE او TCP 1723۔ تصدیق هغه PPP طریقه ده چې سرور یې وړاندې کوي، دلته MS-CHAPv2۔ د اړیکې ساتنه MPPE ده چې کلیډې یې له هماغه تصدیق تبادلې څخه راځي۔ د درېیو نومول د دې مخه نیسي چې وروستی سمون په غلطې طبقې ولګېږي۔

ژوندې ترتیبات ولولئ نه دا چې پر ویکي پاڼه باور وکړئ، او فایل، اورېدونکی او وروستي تصدیق شوي غونډې ولیکئ۔

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

د Windows د لرې لاسرسي رول کې هماغه لیست له دوو کمانډونو راځي، او دویم مهم دی ځکه رول کولی شي یوځای څو طریقې اعلان کړي، خو په ساحه کې کاروونکي تل یوازې پر تر ټولو کمزورې سره موافقه کوي۔

Get-VpnAuthProtocol
netstat -ano | findstr :1723

پرېکړه وکړئ چې نن ټونل واقعاً څه وړي

مخکې له دې چې بدیل وټاکئ کاروونکي ولیکئ: ګرځېدونکي لپ ټاپونه، د څانګې روټر، د تادیې ټرمینل، د ساحې ټابلېټونو ټولګه۔ هغه کاروونکی چې یوازې یو داخلي کوربه ته رسېدو ته اړتیا لري، لېږدول یې اسانه دي۔ هغه کاروونکی چې په هارډویر کې نښتی دی او بیا فلیش یې نه شئ کولی، کېدای شي د کاروونکي لوړولو پر ځای منځګړي ګېټوې ته اړتیا ولري، او دا پرېکړه په پلان کې ده، نه د لېږد په منځ کې۔

بیا وپوښتئ چې هغه بریدګر څه به ترلاسه کړي چې د ننوتلو تبادله ګوري یا پرې اغېزه کولی شي۔ د MS-CHAPv2 سره ځواب هغه مواد لري چې د کاروونکي پټنوم له شبکې بهر بېرته راوړلو ته اجازه ورکوي، او همدا لامل دی چې اوږدوالی او ګردش ډیزاین نه سمومي: بېرته راوړل شوی راز په هره هغه سیسټم کې معتبر دی چې کاروونکي بیا کارولی وي۔

MPPE هماغه کمزوري په میراث اخلي، ځکه کلیډې یې له هماغه تبادلې راځي، او دا تاسو ته د هر پاکټ بشپړتیا او د بیا تکرار چلند نه درکوي لکه چې عصري AEAD سایفر لري۔ هغه غونډه چې پاک تصدیق شي یوازې د ترتیبي څېړنو سره سمون ثابت کړی او نور نه۔

نه لنډه د غرمې څنډه او نه لږ کاروونکي شمېر یوه کریپټوګرافیک ځانګړنه په پالیسي ځانګړنه بدلوي۔

لېږد په یوې ساتنې کړکۍ کې ترسره کړئ

بدیل ودروئ، په یوه ازموینې ډله یې ثابت کړئ، بیا زوړ اورېدونکی ودروئ نه دا چې د غلي بیک اپ په توګه یې پرېږدئ۔ هغه بیک اپ چې هر څوک اوس هم ورته رسېدلی شي لېږد نه دی، او کمزورې تبادلې ته په سمه توګه د هغو کاروونکو لپاره پرانیستی پاتې کېږي چې هېڅکله د بدلون زحمت نه کوي۔

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

په هماغه کړکۍ کې د فایر وال لاره بنده کړئ۔ GRE د یادولو لپاره پورټ نه لري، نو هغه قاعده چې پروتوکول 47 په شمېره اجازه ورکوي، اسانه له پامه غورځېږي او خدمت ته حتی د ډیمون له تلو وروسته هم د رسېدو وړ پاتې کېږي۔ لرې کړل شوې قاعده، د هغې پخوانی ځای او لامل ولیکئ، تر څو وروستی بدلون بیاکتنه یې په ناڅاپي ډول بیرته راونهګرځوي۔

د اعتبار معلومات له ترتیباتو جلا سمبال کړئ۔ د کاروونکي پروفایل لرې کول لغوه کول نه دی، او هغه حساب چې بل ځای لا تصدیقېږي نه دی تقاعد شوی۔

تایید کړئ چې بدیل هغه کارونه کوي چې PPTP یې کول

د چک لیست پوښتنه دا نه ده چې «نښلېږي که نه»۔ دا ده چې ایا تصدیق، د پتې وېش، DNS حل، د لارې ټاکنه، د بیا نښلولو چلند او د سیال تایید تر بدیل لاندې ټول ټینګ دي۔ هر یو په ازموینې وسیله کې، په هماغه ترتیب ازموئ، او لیدل شوې پایله د تمې ترڅنګ ولیکئ۔

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

په انټرفیس کې پته ثابتوي چې خبرې اترې بشپړې شوې۔ دا نه ثابتوي چې لرې اړخ هغه لاره اجازه کړې چې تاسو یې تمه لرئ، او پورتنۍ پوښتنه یوازې دې کوربه ته ځواب وایي، لېږدول شوې LAN ته نه۔ د حل کوونکي ځواب د حل کوونکي رسېدنه ثابتوي، نه دا چې ووېشل شوې DNS پالیسي سم نومونه هلته لېږي۔

بیا نښلول په پای کې ازموئ، ځکه همهلته ډېری بدیلونه شاته ځي: لپ ټاپ په خوب کې کېږدئ، شبکې بدلې کړئ، او تایید کړئ چې ټونل پرته له پخوانیو لارو پاتې کېدو بیا ټینګېږي۔

بیرته ګرځول، لغوه کول او هغه ریکارډ چې پریږدئ

بیرته ګرځول خدمت بېرته راولي؛ خوندیتوب نه راولي، او دا توپیر باید مخکې له دې چې کړکۍ پرانیستل شي په لوړ غږ وویل شي۔ که نوی لار ناکامه شي، کاروونکي د دویم عصري پای نقطې یا لنډمهاله ګېټوې له لارې بېرته راوړئ، نه دا چې د ټولو لپاره PPTP بیا روښانه کړئ۔ د زوړ پروتوکول پر یوه بیړنۍ لار ساتل هغه زیان پراخوي چې تازه مو مستند کړ۔

له لېږد وروسته هغه حسابونه لغوه کړئ چې د PPTP له لارې تصدیق شوي، د هغوی ساتل شوي پروفایلونه پای ته ورسېږي، او تایید کړئ چې GRE قاعده له هر څنډې وسیلې ورکې شوې، په دې کې هغه د ناورین له سره راژوندي کولو کاپي هم چې هېڅوک یې یاد نه لري۔

لنډ ریکارډ پریږدئ: هغه پروتوکولونه چې مو موندلي، د هر اورېدونکي د درېدو نېټه، هغه کاروونکي نسخې چې بدیل یې ملاتړ کوي، او هغه مالک چې پرېکړه بیرته پرانیستلی شي۔ د پټنوم پاکوالی وروسته هم مهم دی، خو د هغه پروتوکول پر پاکوالی چې وړ دی، نه د زوړ ژوندي ساتلو دلالت په توګه۔