د Windows VPN پیاوړتیا: تونل ته له رسیدو دمخه تصدیق سم کړئ

ستاسو د Windows VPN سرور د کاروونکي نوم او پټنوم غواړي، او هغه یو ډیالوګ درې نااړوندې دندې پټوي۔ یو یې ثابتوي چې کس څوک دی، یو یې د هغو خلکو مخه نیسي چې تار ګوري د دې ثبوت بیا کارولو څخه، او یو یې پرېکړه کوي چې وروسته کومو پتو ته رسیدلی شي۔ ډیری کوچني ځای پرځای کول لومړی تونل پیاوړی کوي او لومړنۍ دوه دندې د هغوی په اصلي ارزښتونو پریږدي، چې دا غلط ترتیب دی۔

په هغه ترتیب کار وکړئ چې بریدګر کار کوي۔ لومړی هغه څه چې له تار څخه نیول کیدلی شي۔ بیا هغه څه چې وروسته د هغې ثبت سره بیا پلی کیدلی شي۔ په پای کې، هغه څه چې تصدیق شوی بریدګر دننه کیدو وروسته ورته رسیږي۔

درې دندې، یو ډیالوګ

هویت هغه برخه ده چې خلک پرې فکر کوي، او دا یوازې د ستونزې دریمه برخه ده۔ د هویت ثبوت باید داسې کتونکي ته ودریږي چې تبادله ثبتوي او وروسته بیا هڅه کوي۔ او اجازه یوه جلا پرېکړه ده چې سرور د هویت له ټاکل کیدو وروسته کوي، او Windows هغه په بله خدمت کې ساتي چې د اعتبارنامو تصدیق کوونکي خدمت څخه جلا دی۔

کله چې درې واړه په یوه ذهني بالټي کې ژوند کوي، معمول پایله هغه سرور دی چې په پیاوړي ډول تصدیق کوي او بیا کاروونکي ته اجازه ورکوي هر څه ته ورسیږي۔ د دې وروسته سمول له اوس پالیسي ټاکلو څخه سخت دي، ځکه چې تر هغې پورې د اور وژنې پروفایل، د پتو حوض او لارې ټولې زاړه انګیرنه کوډ کوي۔

له هر تنظیم سره د لاس وهلو دمخه درې واړه په خپلو یادښتونو کې جلا کړئ، بیا یې له تر ټولو کمزورې حلقې څخه پورته سم کړئ۔

ولې MS-CHAPv2 د بیا پلي کیدو ازموینه نشي تحمل کولی

که سرور لاهم MS-CHAPv2 سره PPTP مني، تونل پټنوم په هیڅ معناداره معنا نه ساتي۔ ننګونه او ځواب نیول کیدلی شي او په آفلاین ډول پرې برید کیدلی شي، او په 2012 کې یوه عامه ماتونکې خدمت د عادي پټنوم لپاره له داسې لاس ورکولو څخه په شاوخوا یوه ورځ کې بیا راګرځیدل وښودل۔ اوږد او پیچلی پټنوم لګښت لوړوي؛ دا هغه توکي نه لرې کوي چې بریدګر ورته له شبکې څخه اړتیا لري۔

هغه ځانګړتیا چې تاسو یې غواړئ یو داسې سند دی چې بیا پلی کیدلی نشي۔ EAP-TLS د کلینټ سندونو سره هر وسیلې ته خپل هویت ورکوي او تاسو ته اجازه درکوي چې یوازې یوه وسیله لغوه کړئ۔

د سندونو ځای پرځای کول ریښتینی کار دی: یوه خصوصي CA، د لغوه کولو لاره چې کلینټان یې ګوري، او د نوي کولو پلان چې د کارمندانو بدلونونه زغمي۔ هغه کار د پروژې په توګه وګورئ، نه د خپل ځان او روان تونل ترمنځ د خنډ په توګه۔ د هغې لپاره بودیجه وټاکئ لکه څنګه چې د اور وژنې د بدلولو لپاره ټاکئ۔ شریک شوی پټنوم یوازې تر لومړنۍ لغوه کیدو پورې ارزان دی۔

مخکې شریک شوی کیلي جوړه تصدیقوي، نه کس

L2TP/IPsec د مخکې شریک شوي کیلي سره ثابتوي چې دوه دروازې یو راز پېژني۔ دا هیڅ نه وایي چې کوم انسان نښلول کیږي، او په هغه طبقه کې نشي کولی یو کارکوونکی له بل څخه جلا کړي۔ اوږد تصادفي ارزښت وکاروئ، له هغو لسو تورو څخه ډیر چې ځینې لارښودونه یې وړاندیز کوي، ځکه چې هر څوک چې لاس ورکول ونیسي په آفلاین ډول پر کیلي برید کولی شي۔

په هغه پروفایل کې هر کلینټ راز شریکوي، نو یو کس لرې کول یې مانا دا ده چې هغه بیا پاتې ټولو ته ووېشل شي۔ د ماشین کچې راز پورته د کاروونکي تصدیق جلا ګام وساتئ، او لکه څنګه چې د کلینټانو شمیر زیاتیږي سندونو ته لاړ شئ۔ مخکې شریک شوی کیلي د MS-CHAPv2 سره یوځای دوه کمزورې طبقې دي، او دوهمه لومړنۍ بې اغیزې کوي۔

اجازه په Network Policy Server کې ده

په Windows کې NPS پرېکړه کوي چې څوک نښلیدلی شي، او دا هغه وخت کوي چې تصدیق دمخه بریالی شوی وي۔ هغه جلا والی په محصول کې تر ټولو ګټور پیاوړتیا کنټرول دی، او ډیر ځای پرځای کول هغه نه لاس وهل شوی پریږدي۔

داسې پالیسي شرایط وکاروئ چې ریښتیني محدودیتونه منعکس کړي: د ګروپ غړیتوب، هغه وخت کړکۍ چې ملاتړ پکې کارکوونکي لري، او د روغتیا کتنې څخه د وسیلې حالت۔ چیرې چې معلومات خپل منځي ساییدنه توجیه کوي دوهم فکتور اضافه کړئ، او په یاد ولرئ چې پالیسي د هرې نښلولو هڅې لپاره ارزول کیږي، چې دا یې ژوندی کنټرول جوړوي نه سند۔

RADIUS حساب هم تاسو ته یو ثبت درکوي چې څوک او کله نښلیدلی۔ هغه ثبت د پیښې بیاکتنې او اټکل ترمنځ توپیر دی، او شته که څوک یې ولولي یا نه۔

محدود کړئ چې بریالۍ ننوتنه چیرته رسیږي

VPN اډاپټر باید د ټول فرعي شبکې پرځای په داسې اور وژنې پروفایل کې ښکته شي چې د هغې رول لپاره اړین خدمات اجازه کوي۔ د لارې پوښتنه له فلټر کولو جلا ده۔ بشپړ تونل د کلینټ وسیله ساتي او هر بایټ ستاسو د پورتنۍ لارې له لارې تېروي، پداسې حال کې چې ویشل شوی تونل ځایي ترافیک ځایي ساتي او وسیله هر هغه شبکې ته چې پکې وي په زغرده ږدي۔

د دواړو انتخابونو څخه هیڅ یو د امنیت اصلي ارزښت نه دی۔ دواړه باید د هغه اور وژنې پروفایل ترڅنګ ولیکل شي چې دوی یې انګیرنه کوي۔

د ناکامۍ لارې تایید کړئ

هغه څه وآزموئ چې باید مات شي: غلط پټنوم، پای ته رسیدلی سند، لغوه شوې وسیله، له ګروپ بهر کاروونکی۔ هر یو باید په بېل ټکي کې ناکام شي، او ثبت باید ووایي چې کوم و۔ لومړی سیټ په ازموینې حساب چل کړئ، بیا یې د ریښتیني کاروونکي لپاره تکرار کړئ۔ بې سببه د پیښو ثبت ته رسیدونکې ردېدنه د هغه ثبت له اړتیا څخه ډیر دمخه د سمولو وړ ده۔

بیا تایید کړئ چې کوم پورټونه خپاره شوي او ولې۔ PPTP ته TCP 1723 او GRE د IP پروتوکول په توګه نه د پورټ په توګه اړتیا ده، IKEv2 ته UDP 500 او 4500 اړتیا ده، او L2TP ته UDP 1701 د IPsec سره یوځای اړتیا ده۔ د مدیریت انټرفیس خلاصول ترڅو کلینټ ونښلي سمون نه دی، دا دوهمه پیښه ده چې کشف ته انتظار کوي۔

په پای کې پرېکړه وکړئ سرور څه او څومره وخت ثبتوي۔ بې تصدیق تاریخچې پای ټکی د پیښې وروسته لومړنۍ پوښتنې ته ځواب نشي ویلای، یعنې ایا هغه هڅه کله هم اجازه شوې وه۔