RouterOS OpenVPN සහ NPS: auth නොව user-auth-method සකසන්න

RouterOS හට OpenVPN පිවිසුමකින් NPS වෙත ළඟා වී තවමත් ප්‍රතික්ෂේප විය හැක, සහ සාමාන්‍ය හේතුව නම් දෙකම සත්‍යාපනය ලෙස ශබ්ද වන සැකසුම් දෙකකි. එකක් ටනලය සඳහා ගුප්තකේතන ඩයිජෙස්ට් තෝරයි; අනෙක පරිශීලකයාගේ අක්තපත්‍ර RADIUS වෙත ඉදිරිපත් කරන ආකාරය තීරණය කරයි. ඩයිජෙස්ට් වෙනස් කිරීමෙන් PAP ඉල්ලීමක් කිසිදා MS-CHAPv2 නොවනු ඇත, සේවාව කොපමණ වාරයක් නැවත ආරම්භ වුවත්. පහත ලැයිස්තුව දෙක වෙන් කර, පසුව එක් අසාර්ථක පිවිසුමක් එය විනිශ්චය කළ NPS ප්‍රතිපත්තිය හරහා අනුගමනය කරයි.

පියවර 1: එකක් වෙනස් කිරීමට පෙර සැකසුම් දෙකම කියවන්න

ටනලය අවසන් කරන රවුටරයේ ඵලදායී OpenVPN සේවාදායක වින්‍යාසය මුද්‍රණය කරන්න, උපස්ථයකින් හෝ පිටපත් කළ සංසද පෝස්ට් එකකින් නොව. ඔබට වැදගත් ක්ෂේත්‍ර දෙක සාමාන්‍යයෙන් එකම මෙනුවේ පවතින අතර විකල්ප ලෙස කියවේ. ඒවා එසේ නොවේ: එකක් දත්ත නාලිකාව ගැන, අනෙක අක්තපත්‍ර හුවමාරුව ගැන.

/interface ovpn-server server print
/interface ovpn-server server export

auth ක්ෂේත්‍රය sha1 සහ sha256 වැනි ඩයිජෙස්ට් ලැයිස්තුගත කර ටනල පැකට් සත්‍යාපනය කරන HMAC පාලනය කරයි. user-auth-method ක්ෂේත්‍රය pap හෝ mschap2 තෝරා රවුටරය පරිශීලකයාගේ අක්තපත්‍ර RADIUS වෙත ඉදිරිපත් කරන ආකාරය තීරණය කරයි. ඩයිජෙස්ට් වෙනස්කමකට දෙවන හැසිරීම වෙනස් කළ නොහැක, එබැවින් එම ප්‍රතික්ෂේපයම පළමුවැන්නේ සෑම සීරුමාරුවකින් පසුවත් පවතී.

ඔබේ නිකුතුව user-auth-method කිසිසේත් හෙළි නොකරන්නේ නම් මෙහි නවතින්න. පැරණි RouterOS ගොඩනැගීම් OpenVPN සේවාදායකයේ එය නොපිරිනමනු ඇත, සහ නිවැරදි කිරීම නවතමයෙකින් පිටපත් කළ විධානයක නොව, ඔබට සහාය දිය හැකි නිකුතුවක තිබිය යුතුය.

පියවර 2: පිවිසුම සැබවින්ම ප්‍රතික්ෂේප කළ ප්‍රතිපත්තිය සොයන්න

NPS පැත්තේ, සම්බන්ධතා ඉල්ලීමක් ජාල ප්‍රතිපත්තිවලට එරෙහිව ඇගයේ, සහ ගැලපෙන ප්‍රතිපත්තියේ නම් කර ඇති සත්‍යාපන ක්‍රමය සේවාදායකයා සැබවින්ම ඉදිරිපත් කළ එකක් විය යුතුය. සාරාංශ ගණනක් කියවනවාට වඩා එක් අසාර්ථක පිවිසුමක් වේලාව සහ පරිශීලකයා අනුව සහසම්බන්ධ කරන්න. ආරක්ෂක ලොගය අනුමත සහ ප්‍රතික්ෂේප ඉල්ලීම් හේතු කේතයක් සමඟ සටහන් කරයි, එය රවුටරයේ සාමාන්‍ය අසාර්ථක රේඛාවට වඩා බොහෝ දේ කියයි.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

සිද්ධියේ කරුණු තුනක් කියවන්න: ගැලපෙන ප්‍රතිපත්තියේ නම, සත්‍යාපන ක්‍රමය සහ හේතු කේතය. MS-CHAPv2 අවශ්‍ය කරන ප්‍රතිපත්තියක් මුරපදය නිවැරදි වුවත් PAP ඉල්ලීම ප්‍රතික්ෂේප කරයි, සහ වසම් ගිණුමක් අවශ්‍ය කරන ප්‍රතිපත්තියක් දේශීය ගිණුමක් ප්‍රතික්ෂේප කරයි. RADIUS සේවාදායක සටහන රවුටරයේ මූල ලිපිනයටද ගැලපිය යුතුය, එසේ නොමැති නම් ඉල්ලීම කිසිදු ප්‍රතිපත්තියක් සලකා බැලීමට පෙර ඉවත දමයි. ඒ කිසිවක් OpenVPN ලොගයේ නොපෙනේ.

ඉල්ලීම NPS වෙත කිසිදා නොපැමිණෙන්නේ නම් මෙහි නවතින්න. එය හවුල් රහස, සේවාදායක ලිපිනය හෝ UDP 1812 ගැටලුවක් වන අතර සත්‍යාපන ක්‍රම වෙනස් කිරීමෙන් එය නොවිසඳේ.

පියවර 3: දෙපැත්තේම එක් ක්‍රමයක් වෙනස් කරන්න

අනුමත නිර්මාණය MS-CHAPv2 නම්, එය රවුටරයේ සකසා ගැලපෙන ප්‍රතිපත්තිය එය පිළිගන්නා බව තහවුරු කරන්න. එක් පැත්තක් වෙනස් කර නැවත පරීක්ෂා කර, පසුව අනෙක වෙනස් කරන්න; දෙකම එකවර වෙනස් කිරීමෙන් කුමක් වැදගත් දැයි කිව නොහැකි වේ.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

දෝෂය නැති වීමට NPS හි සෑම දුර්වල ක්‍රමයක්ම සක්‍රීය නොකරන්න. පසුතලයේ තෝරාගත් ක්‍රමයට සත්‍යාපනය කළ හැකි ද්‍රව්‍ය තිබිය යුතුය: MS-CHAPv2 ට මුරපදයට හෝ වසමට ප්‍රවේශය අවශ්‍ය වන අතර ප්‍රතිපත්තියකට එම ද්‍රව්‍ය නිර්මාණය කළ නොහැක. ප්‍රතිපත්තිය පුළුල් කිරීම එම ගිණුමට එරෙහිව ප්‍රහාරකයාට උත්සාහ කළ හැකි දේ ද පුළුල් කරයි. ක්‍රමය, ප්‍රතිපත්තියේ නම සහ වෙනස්කම් යොමුව එකට සටහන් කරන්න, ඊළඟ පුද්ගලයාට අනුමානයක් නොව තීරණයක් උරුම වන පරිදි.

ටනලයේ සහතික වලංගු කිරීම පෙර තිබූ ලෙසම තබන්න. අක්තපත්‍ර ක්‍රමයක් සේවාදායක අනන්‍යතාවයට ආදේශකයක් නොවේ, සහ පරීක්ෂණයක් සමත් වීමට TLS පරීක්ෂණ අඩු කිරීම එක් ගැටලුවක් වඩා නරක එකකින් මාරු කරයි.

පියවර 4: පිවිසුම් තුනක් සහ අවසරයක් පරීක්ෂා කරන්න

අවසර ලත් පරිශීලකයෙකු, වැරදි මුරපදයක් සහ බැහැර කළ පරිශීලකයෙකු පරීක්ෂා කරන්න, එක් එක් අය නව සැසියක. පළමුවැන්න මාර්ගය සනාථ කරයි, දෙවැන්න අක්තපත්‍ර පරීක්ෂාව සැබෑ බව සනාථ කරයි, තෙවැන්න ප්‍රතිපත්තිය තවමත් බැහැර කළ යුතු අය බැහැර කරන බව සනාථ කරයි. හැඹිලිගත සැසියකට තුනම සඟවා ගත හැක, එබැවින් උත්සාහ අතර විසන්ධි වන්න.

/log print where topics~"ovpn"
/radius monitor 0

සාර්ථක සත්‍යාපනය ලැයිස්තුවේ අවසානය නොවේ. සේවාදායකයාට ලැබුණු ලිපිනය සහ එම ලිපිනයට ළඟා විය හැකි සම්පත් පරීක්ෂා කරන්න, මන්ද පරිශීලකයෙකු නිවැරදිව සත්‍යාපනය වී තවමත් වැරදි තටාකයට වැටිය හැක. නියමිත ලිපිනය වැරදි නම්, ගැටලුව ක්‍රමයේ නොව පැතිකඩේ හෝ RADIUS ප්‍රතිචාර ගුණාංගවල ඇත. ටිකට් වැසීමට පෙර දෙකම තහවුරු කරන්න.

රවුටර සැකසුම සහ NPS ප්‍රතිපත්තිය එකම ක්‍රමය නම් කරන විට, අවසර ලත් පරිශීලකයෙකු නව සැසියකින් සම්බන්ධ වන විට, වැරදි මුරපදයක් ප්‍රතික්ෂේප වන විට, බැහැර කළ පරිශීලකයෙකු බැහැරවම පවතින විට සහ නියමිත ලිපිනය අපේක්ෂිත තටාකයට ගැලපෙන විට ලැයිස්තුව සම්පූර්ණ වේ. ඊට අඩු කිසිවක් ඊළඟ පිවිසුම අහම්බයට භාර දෙයි.