Ukončenie PPTP/MS-CHAPv2: runbook pre zastaranú VPN

Dvadsaťznakové heslá, menené každý mesiac a uložené v trezore, nerobia z PPTP servera s MS-CHAPv2 modernú VPN. Heslo je vstupom do výmeny, ktorej slabina žije v samotnej výmene. Tento runbook je pre toho, kto ten server zdedil a musí z neho presunúť používateľov bez toho, aby odrezal lokalitu, ktorá na ňom závisí. Prejdite kroky v poradí, pretože každý zanechá záznam, ktorý budete chcieť mať, keď sa niekto opýta, prečo sa prístup zrazu zmenil.

Skôr než sa čohokoľvek dotknete, zapíšte si skladbu

Tri vrstvy sa zlievajú do slova PPTP a každá zlyháva po svojom. Tunel je samo PPTP, GRE plus TCP 1723. Autentizácia je tá metóda PPP, ktorú server ponúka, tu MS-CHAPv2. Ochrana spoja je MPPE, ktorej kľúče sa odvodzujú z tej autentizačnej výmeny. Pomenovanie všetkých troch bráni tomu, aby neskoršia oprava pristála na nesprávnej vrstve.

Čítajte živú konfiguráciu, namiesto toho aby ste verili wiki stránke, a poznamenajte súbor, naslúchajúci proces a posledné relácie, ktoré sa autentizovali.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Na role vzdialeného prístupu Windows pochádza rovnaký súpis z dvoch príkazov a druhý je dôležitý, pretože rola môže inzerovať niekoľko metód naraz, zatiaľ čo klienti v teréne vždy vyjednajú len tú najslabšiu.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Určite, čo tunel dnes skutočne prenáša

Pred výberom náhrady vypíšte spotrebiteľov: putujúce notebooky, router pobočky, platobný terminál, sada terénnych tabletov. Spotrebiteľa, ktorý potrebuje dosiahnuť len jedného interného hostiteľa, možno presunúť ľahko. Spotrebiteľ zabudovaný v hardvéri, ktorý nemôžete prehrať, môže potrebovať prostrednú bránu namiesto upgradu klienta, a toto rozhodnutie patrí do plánu, nie doprostred prechodu.

Potom sa pýtajte, čo by získal útočník, ktorý dokáže odpočúvať prihlasovaciu výmenu alebo ju ovplyvniť. Pri MS-CHAPv2 odpoveď obsahuje materiál, ktorý umožňuje offline obnovu používateľovho hesla, a práve preto dĺžka a rotácia dizajn neopravia: obnovené tajomstvo platí v každom systéme, kde ho používateľ znova použil.

MPPE dedí rovnakú slabinu, pretože jej kľúče pochádzajú z tej výmeny, a nedáva integritu po paketoch ani správanie pri opakovaní ako moderná šifra AEAD. Relácia, ktorá sa čisto autentizuje, preukázala iba súlad s nakonfigurovanými kontrolami a nič viac.

Ani krátka obedná prestávka, ani malý počet používateľov nepremení kryptografickú vlastnosť na vlastnosť politiky.

Migráciu vykonajte v jedinom okne údržby

Postavte náhradu, preukážte ju jednou pilotnou skupinou a potom starý naslúchajúci proces zastavte, namiesto toho aby ste ho nechali ako tichú zálohu. Záloha, ku ktorej sa ešte každý dostane, nie je migrácia a udržiava slabú výmenu dostupnou práve pre tých používateľov, ktorí si nikdy nedajú prácu prejsť.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Cestu cez firewall zatvorte v tom istom okne. GRE nemá port, ktorý treba pamätať, takže pravidlo povoľujúce protokol 47 podľa čísla sa ľahko prehliadne a nechá službu dostupnou aj po tom, čo daemon zmizol. Poznamenajte pravidlo, ktoré ste odstránili, jeho predchádzajúcu pozíciu a dôvod, aby ho neskoršia revízia zmien omylom neobnovila.

Prihlasovacie údaje riešte oddelene od konfigurácie. Odobratie klientskeho profilu nie je odvolanie a účet, ktorý sa inde stále autentizuje, nebol vyradený.

Overte, že náhrada robí prácu, ktorú robil PPTP

Kontrolný zoznam nie je „pripojí sa“. Je to otázka, či autentizácia, prideľovanie adries, preklad DNS, voľba trasy, správanie pri opätovnom pripojení a overenie protistrany stále držia pod náhradou. Otestujte každú položku na pilotnom zariadení, v tomto poradí, a napíšte pozorovaný výsledok vedľa očakávania.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Adresa na rozhraní dokazuje, že rokovanie sa skončilo. Nedokazuje, že vzdialená strana autorizovala trasu, ktorú očakávate, a uvedená požiadavka odpovedá iba za tohto hostiteľa, nie za preposielanú LAN. Odpoveď resolvera dokazuje dosiahnuteľnosť resolvera, nie to, že politika rozdeleného DNS k nemu posiela správne mená.

Opätovné pripojenie skontrolujte nakoniec, pretože tam väčšina náhrad regresuje: uspite notebook, zmeňte siete a potvrďte, že sa tunel obnoví bez zostávajúcich zastaraných trás.

Vrátenie, odvolanie a záznam, ktorý po sebe zanecháte

Vrátenie obnovuje službu; neobnovuje bezpečnosť, a ten rozdiel treba povedať nahlas pred otvorením okna. Ak nová cesta zlyhá, priveďte používateľov späť cez druhý moderný koncový bod alebo dočasnú bránu, nie opätovným zapnutím PPTP pre všetkých. Ponechanie jednej núdzovej cesty na starom protokole rozširuje expozíciu, ktorú ste práve zdokumentovali.

Po prechode odvolajte účty, ktoré sa autentizovali cez PPTP, nechajte ich uložené profily vypršať a potvrďte, že pravidlo GRE zmizlo z každého okrajového zariadenia vrátane kopie na obnovu po havárii, na ktorú si nikto nespomenie.

Zanechajte krátky záznam: protokoly, ktoré ste našli, dátum, kedy každý naslúchajúci proces skončil, verzie klientov, ktoré náhrada podporuje, a vlastníka, ktorý môže rozhodnutie znova otvoriť. Hygiena hesiel je potom stále dôležitá, ale ako hygiena na protokole, ktorý si ju zaslúži, nie ako argument udržať starý nažive.