PPTP/MS-CHAPv2 ඉවත් කිරීම: පැරණි VPN සඳහා ධාවන පොත

මාසිකව මාරු කර භාණ්ඩාගාරයක තබන අක්ෂර විස්සක මුරපද MS-CHAPv2 ධාවනය කරන PPTP සේවාදායකයක් නවීන VPN එකක් බවට නොපත් කරයි. මුරපදය යනු දුර්වලතාව එම හුවමාරුව තුළම පවතින හුවමාරුවකට ලබා දෙන ආදානයකි. මෙම ධාවන පොත එම සේවාදායකය උරුම වූ අතර එය මත රඳා පවතින අඩවිය කපා නොදමා පරිශීලකයන් එයින් ඉවත් කළ යුතු අයෙකු සඳහාය. පියවර අනුපිළිවෙළින් සිදු කරන්න, මන්ද සෑම එකක්ම වාර්තාවක් ඉතිරි කරන අතර, ප්‍රවේශය හදිසියේ වෙනස් වූයේ ඇයි දැයි යමෙකු ඇසූ විට එය අවශ්‍ය වනු ඇත.

කිසිවක් ස්පර්ශ කිරීමට පෙර තොගය ලියන්න

PPTP යන වචනය තුළ ස්තර තුනක් එකට එකතු වන අතර, සෑම එකක්ම තමන්ගේ ආකාරයට අසාර්ථක වේ. උමග යනු PPTP ම, GRE සහ TCP 1723 ය. සත්‍යාපනය යනු සේවාදායකය ලබා දෙන PPP ක්‍රමයයි, මෙහි MS-CHAPv2 ය. සබැඳි ආරක්ෂණය MPPE වන අතර, එහි යතුරු එම සත්‍යාපන හුවමාරුවෙන් ලබා ගනී. තුනම නම් කිරීම පසුව කරන නිවැරදි කිරීමක් වැරදි ස්තරයට නොවැටීමට බාධා කරයි.

විකි පිටුවක් විශ්වාස කරනවාට වඩා ජීවමාන වින්‍යාසය කියවන්න, සහ ගොනුව, ශ්‍රාවකය සහ සත්‍යාපනය වූ අවසාන සැසි සටහන් කරන්න.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows දුරස්ථ ප්‍රවේශ භූමිකාවක එම ලැයිස්තුවම විධාන දෙකකින් ලැබේ, දෙවැන්න වැදගත් වන්නේ භූමිකාවකට ක්‍රම කිහිපයක් එකවර ප්‍රචාරණය කළ හැකි නමුත් ක්ෂේත්‍රයේ සේවාලාභීන් සැමවිටම දුර්වලම ක්‍රමය ගැන පමණක් එකඟ වන බැවිනි.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

අද උමග ඇත්තටම කුමක් රැගෙන යනවාදැයි තීරණය කරන්න

ආදේශකයක් තෝරා ගැනීමට පෙර පරිශීලකයන් ලැයිස්තුගත කරන්න: සංචාරක ලැප්ටොප්, ශාඛා රවුටරයක්, ගෙවීම් ටර්මිනලයක්, ක්ෂේත්‍ර ටැබ්ලට් කට්ටලයක්. එකම අභ්‍යන්තර සත්කාරකයකට පමණක් ළඟා වීමට අවශ්‍ය පරිශීලකයා ගෙන යාම පහසුය. නැවත ෆ්ලෑෂ් කළ නොහැකි දෘඩාංගයක් තුළ කාවැදී ඇති පරිශීලකයාට සේවාලාභී උත්ශ්‍රේණි කිරීමක් වෙනුවට අතරමැදි ද්වාරයක් අවශ්‍ය විය හැක, එම තීරණය සංක්‍රාන්තිය මැද නොව සැලසුම තුළ විය යුතුය.

පසුව ලොගින් හුවමාරුව නිරීක්ෂණය කළ හෝ එයට බලපෑම් කළ හැකි ප්‍රහාරකයෙකුට ලැබෙන දේ අසන්න. MS-CHAPv2 සමඟ පිළිතුරෙහි පරිශීලකයාගේ මුරපදය අන්තර්ජාලයෙන් තොරව ප්‍රතිසාධනය කිරීමට හැකියාව දෙන ද්‍රව්‍ය ඇතුළත් වේ, ඒ නිසාම දිග සහ භ්‍රමණය සැලසුම නිවැරදි නොකරයි: ප්‍රතිසාධනය වූ රහස පරිශීලකයා එය නැවත භාවිතා කළ සෑම පද්ධතියකම වලංගු වේ.

MPPE ද එම දුර්වලතාව උරුම කර ගනී, එහි යතුරු එම හුවමාරුවෙන් පැමිණෙන බැවින්, එය ඔබට නවීන AEAD සංකේතයක පැකට්-පාදක අඛණ්ඩතාව සහ නැවත-සෙල්ලම් හැසිරීම ලබා නොදේ. පිරිසිදු ලෙස සත්‍යාපනය වන සැසියක් වින්‍යාසගත පරීක්ෂණ සමඟ ගැළපීම පමණක් ඔප්පු කර ඇත, ඊට වැඩි කිසිවක් නොවේ.

කෙටි දහවල් විවේකයක් හෝ අඩු පරිශීලක සංඛ්‍යාවක් කිසිදු ගුප්තකේතන ලක්ෂණයක් ප්‍රතිපත්ති ලක්ෂණයක් බවට පත් නොකරයි.

සංක්‍රමණය එක් නඩත්තු කවුළුවක් තුළ සිදු කරන්න

ආදේශකය නැංවීම කරන්න, එක් නියමු කණ්ඩායමක් සමඟ එය ඔප්පු කරන්න, පසුව පැරණි ශ්‍රාවකය නිහඬ උපස්ථයක් ලෙස තැබීම වෙනුවට නවත්වන්න. සැමට තවමත් ළඟා විය හැකි උපස්ථයක් සංක්‍රමණයක් නොවේ, එය දුර්වල හුවමාරුව මාරු වීමට කිසිදා මහන්සි නොගන්නා පරිශීලකයන් සඳහාම විවෘතව තබයි.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

එම කවුළුව තුළම ෆයර්වෝල් මාර්ගය වසන්න. GRE සතුව මතක තබා ගැනීමට වරායක් නැත, එබැවින් අංකයෙන් ප්‍රොටොකෝලය 47 ට අවසර දෙන නියමයක් පහසුවෙන් අතපසු වන අතර, ඩීමන් නැති වූ පසුවත් සේවාවට ළඟා විය හැකි ලෙස තබයි. ඉවත් කළ නියමය, එහි පෙර ස්ථානය සහ හේතුව සටහන් කරන්න, පසුව කරන වෙනස්කම් සමාලෝචනයක් එය අහම්බෙන් ප්‍රතිස්ථාපනය නොකරන පිණිස.

අක්තපත්‍ර වින්‍යාසයෙන් වෙන්ව හසුරුවන්න. සේවාලාභී පැතිකඩ ඉවත් කිරීම අවලංගු කිරීමක් නොවේ, වෙනත් තැනක තවමත් සත්‍යාපනය වන ගිණුමක් විශ්‍රාමිකව ඉවත් කර නැත.

ආදේශකය PPTP කළ කාර්යයන් කරන්නේදැයි සත්‍යාපනය කරන්න

පිරික්සුම් ලැයිස්තුව “සම්බන්ධ වෙනවාද” යන්න නොවේ. එය සත්‍යාපනය, ලිපින පැවරීම, DNS විසඳීම, මාර්ග තේරීම, නැවත සම්බන්ධ වීමේ හැසිරීම සහ සමක සත්‍යාපනය යන සියල්ල ආදේශකය යටතේ තවමත් රඳා පවතීද යන්නයි. සෑම එකක්ම නියමු උපාංගයක, එම අනුපිළිවෙළින් පරීක්ෂා කරන්න, නිරීක්ෂණය කළ ප්‍රතිඵලය අපේක්ෂාවට යාබදව ලියන්න.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

අතුරුමුහුණතේ ලිපිනයක් තිබීම සාකච්ඡාව අවසන් වූ බව ඔප්පු කරයි. එය දුර පැත්ත ඔබ බලාපොරොත්තු වන මාර්ගයට අවසර දුන් බව ඔප්පු නොකරයි, ඉහත විමසුම ලබා දෙන්නේ මෙම සත්කාරකය සඳහා පමණි, යොමු කළ LAN එකක් සඳහා නොවේ. විසඳන්නෙකුගේ පිළිතුර විසඳන්නෙකු වෙත ළඟා විය හැකි බව ඔප්පු කරයි, බෙදුණු DNS ප්‍රතිපත්තිය නිවැරදි නම් එහි යවන බව නොවේ.

නැවත සම්බන්ධ වීම අවසානයේ පරීක්ෂා කරන්න, මන්ද බොහෝ ආදේශක එහිදී පසුබසින බැවිනි: ලැප්ටොප් නිදාගැනීමට යවන්න, ජාල මාරු කරන්න, පැරණි මාර්ග ඉතිරි නොකර උමග නැවත ස්ථාපිත වන බව තහවුරු කරන්න.

පසුගමනය, අවලංගු කිරීම සහ ඔබ ඉතිරි කරන වාර්තාව

පසුගමනය සේවාව නැවත ලබා දෙයි; එය ආරක්ෂාව නැවත ලබා නොදේ, එම වෙනස කවුළුව විවෘත වීමට පෙර ශබ්දයෙන් කිව යුතුය. නව මාර්ගය අසාර්ථක වුවහොත්, සැමට PPTP නැවත ක්‍රියාත්මක කිරීම වෙනුවට දෙවන නවීන අන්ත ලක්ෂ්‍යයක් හෝ තාවකාලික ද්වාරයක් හරහා පරිශීලකයන් ආපසු ගෙන එන්න. පැරණි ප්‍රොටොකෝලයේ එක් හදිසි මාර්ගයක් තබා ගැනීම ඔබ දැන් ලේඛනගත කළ නිරාවරණය පුළුල් කරයි.

සංක්‍රාන්තියෙන් පසු PPTP හරහා සත්‍යාපනය වූ ගිණුම් අවලංගු කරන්න, ඒවායේ ගබඩා කළ පැතිකඩ කල් ඉකුත් වීමට ඉඩ දෙන්න, සහ කිසිවෙකු මතක නොතබන ආපදා ප්‍රතිසාධන පිටපත ඇතුළුව සෑම කෙළවරේ උපාංගයකින්ම GRE නියමය ගොස් ඇති බව තහවුරු කරන්න.

කෙටි වාර්තාවක් ඉතිරි කරන්න: ඔබට හමු වූ ප්‍රොටොකෝල, එක් එක් ශ්‍රාවකය නැවතුණු දිනය, ආදේශකය අනුග්‍රහය දෙන සේවාලාභී අනුවාද, සහ තීරණය නැවත විවෘත කළ හැකි හිමිකරු. මුරපද සෞඛ්‍යය පසුවද වැදගත් වේ, නමුත් එය වටිනා ප්‍රොටොකෝලයක සෞඛ්‍යයක් ලෙස, පැරණි එක ජීවතුන් අතර තබා ගැනීමට තර්කයක් ලෙස නොවේ.