RouterOS OpenVPN او NPS: auth نه، user-auth-method وټاکئ

RouterOS کولی شي د OpenVPN ننوتلو سره NPS ته ورسیږي او بیا هم رد شي، او معمول لامل دوه تنظیمات دي چې نومونه یې دواړه د تصدیق غوندې اوریدل کیږي۔ یو د ټنل لپاره کرپټوګرافیک ډایجسټ ټاکي؛ بل پرېکړه کوي چې د کاروونکي اسناد RADIUS ته څنګه وړاندې شي۔ د ډایجسټ بدلول به هېڅکله PAP غوښتنه MS-CHAPv2 ته ونه اړوي، هر څومره ځله خدمت بیا پیل شي۔ لاندې چک لیست دواړه جلا کوي، بیا یوه ناکامه ننوتنه د هغې NPS پالیسۍ له لارې تعقیبوي چې پرې حکم کړی۔

ګام 1: د یوې بدلولو دمخه دواړه تنظیمات ولولئ

د هغه روټر په اړه چې ټنل پای ته رسوي، اغېزمن OpenVPN سرور ترتیب چاپ کړئ، نه له بیک اپ یا کاپي شوې فورمې پوسټ څخه۔ هغه دوه ساحې چې تاسو ته مهمې دي معمولاً په یوه مینو کې وي او د بدیلونو په څېر لوستل کیږي۔ دوی بدیلونه نه دي: یو د معلوماتو چینل په اړه دی، بل د اسنادو تبادلې په اړه۔

/interface ovpn-server server print
/interface ovpn-server server export

auth ساحه د sha1 او sha256 په څېر ډایجسټونه لیست کوي او هغه HMAC کنټرولوي چې د ټنل بنډلونه تصدیقوي۔ user-auth-method ساحه pap یا mschap2 ټاکي او پرېکړه کوي چې روټر د کاروونکي اسناد RADIUS ته څنګه وړاندې کوي۔ د ډایجسټ بدلون نشي کولی دویم چلند بدل کړي، نو ځکه هماغه ردول د لومړي په هر تنظیم کېدو وروسته هم پاتې کیږي۔

که ستاسو خپور شوی نسخه user-auth-method په بشپړه توګه نه ښیي، دلته ودروئ۔ زاړه RouterOS جوړښتونه یې ممکن په OpenVPN سرور کې ونه ړانده کړي، او سمون باید په هغه نسخه کې وي چې تاسو یې ملاتړ کولی شئ، نه په هغه کمانډ کې چې له نوي څخه کاپي شوی۔

ګام 2: هغه پالیسي ومومئ چې ننوتنه یې واقعاً رد کړې ده

د NPS په اړخ کې، د اړیکې غوښتنه د شبکې پالیسیو پر ضد ارزول کیږي، او په سمونکې پالیسۍ کې نومول شوې تصدیق طریقه باید یوه له هغو وي چې کلاینټ واقعاً وړاندې کړې ده۔ یوه ناکامه ننوتنه د وخت او کاروونکي له مخې سره ونښلوئ، نه د لنډیز شمېر ولولئ۔ د امنیت لاګ اجازه شوې او رد شوې غوښتنې د لامل کوډ سره ثبتوي، چې د روټر له عمومي ناکامۍ کرښې څخه ډېر څه وایي۔

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

په پېښه کې درې شیان ولولئ: د سمونکې پالیسۍ نوم، تصدیق طریقه او د لامل کوډ۔ هغه پالیسي چې MS-CHAPv2 غواړي، PAP غوښتنه ردوي حتی کله چې پټنوم سم وي، او هغه پالیسي چې ډومین حساب غواړي، سیمه ییز حساب ردوي۔ د RADIUS کلاینټ ننوتنه هم باید د روټر د سرچینې پتې سره سمه وي، که نه غوښتنه له هرې پالیسۍ کتلو دمخه غورځول کیږي۔ له دې څخه هېڅ هم د OpenVPN لاګ کې نه ښکاري۔

که غوښتنه هېڅکله NPS ته ونه رسیږي، دلته ودروئ۔ دا د شریک راز، کلاینټ پتې یا UDP 1812 ستونزه ده، او د تصدیق طریقو بدلول به یې سم نه کړي۔

ګام 3: په دواړو خواوو کې یوه طریقه بدله کړئ

که منظورشوی ډیزاین MS-CHAPv2 وي، هغه په روټر کې وټاکئ او تایید کړئ چې سمونکې پالیسي یې مني۔ یوه خوا بدله کړئ، بیا ازموینه وکړئ، بیا بله خوا بدله کړئ؛ دواړه یوځای بدلول تاسو نه پرېږدي چې ووایاست کومه مهمه وه۔

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

د تېروتنې د ورکېدو لپاره په NPS کې هره کمزورې طریقه فعاله نه کړئ۔ شالید باید هغه توکي ولري چې ټاکل شوې طریقه یې تصدیق کولی شي: MS-CHAPv2 پټنوم یا ډومین ته لاسرسی غواړي، او پالیسي نشي کولی هغه توکي جوړ کړي۔ د پالیسۍ پراخول هغه هم پراخوي چې بریدګر کولی شي پر هماغه حساب هڅه وکړي۔ طریقه، د پالیسۍ نوم او د بدلون حواله یوځای ولیکئ، تر څو بله کس اټکل نه، بلکې پرېکړه میراث واخلي۔

د ټنل د سند تصدیق سم لکه مخکې پاتې کړئ۔ د اسنادو طریقه د سرور هویت بدله نه ده، او د ازموینې د تېرولو لپاره TLS ګروپونه کمول یوه ستونزه په بله بدې سره بدلوي۔

ګام 4: درې ننوتنې او یوه اجازه وازموئ

اجازه لرونکی کاروونکی، غلط پټنوم او ایستل شوی کاروونکی وازموئ، هر یو په نوي غونډه کې۔ لومړی لار ثابتوي، دویم دا ثابتوي چې د اسنادو ګروپونه ریښتیني دي، او دریم دا ثابتوي چې پالیسي لا هم هغه کسان ایستل کیږي چې باید ایستل شي۔ کیش شوې غونډه کولی شي درېواړه پټ کړي، نو د هڅو ترمنځ اړیکه پرې کړئ۔

/log print where topics~"ovpn"
/radius monitor 0

بریالۍ تصدیق د چک لیست پای نه دی۔ هغه پته چې کلاینټ ترلاسه کړې او هغه سرچینې چې هغه پته ورته رسیږي وګورئ، ځکه کاروونکی کولی شي سم تصدیق شي او بیا هم په غلط حوض کې ولویږي۔ که ټاکل شوې پته غلطه وي، ستونزه په طریقه کې نه، په پروفایل یا د RADIUS ځواب ځانګړنو کې ده۔ د ټکټ د بندولو دمخه دواړه تایید کړئ۔

چک لیست هغه وخت بشپړیږي چې د روټر تنظیم او NPS پالیسي یوه طریقه ونوموي، اجازه لرونکی کاروونکی په نوي غونډه سره ونښلي، غلط پټنوم رد شي، ایستل شوی کاروونکی ایستل شوی پاتې شي او ټاکل شوې پته د پلان شوي حوض سره سمه وي۔ له دې څخه لږ څه بله ننوتنه تصادف ته پرېږدي۔