Utrjevanje VPN v Windows: najprej popravite preverjanje pristnosti, nato tunel

Vaš strežnik VPN v Windows zahteva uporabniško ime in geslo, ta en sam pogovor pa skriva tri nepovezane naloge. Ena dokazuje, kdo je oseba, ena preprečuje, da bi nekdo, ki opazuje povezavo, to dokazilo ponovno uporabil, ena pa odloča, do katerih naslovov lahko nato dostopa. Večina majhnih namestitev najprej utrdi tunel in prvi dve nalogi pusti na privzetih vrednostih, kar je napačen vrstni red.

Delajte v vrstnem redu, v katerem dela napadalec. Najprej tisto, kar je mogoče ujeti s povezave. Nato tisto, kar je mogoče pozneje predvajati s tem posnetkom. Nazadnje tisto, do česar lahko overjeni napadalec pride, ko je že notri.

Tri naloge, en pogovor

Identiteta je del, o katerem razmišljajo ljudje, in je le tretjina problema. Dokazilo o identiteti mora zdržati opazovalca, ki izmenjavo posname in pozneje poskusi znova. Avtorizacija pa je ločena odločitev, ki jo strežnik sprejme po tem, ko je identiteta ugotovljena, in Windows jo hrani v drugi storitvi kot tisto, ki preverja poverilnice.

Ko vse tri živijo v istem miselnem vedru, je običajen izid strežnik, ki močno preverja pristnost in nato uporabniku dovoli doseči vse. Popraviti to pozneje je težje kot zdaj določiti politiko, ker do takrat profil požarnega zidu, nabor naslovov in poti že kodirajo staro predpostavko.

Ločite vse tri v svojih zapiskih, preden se dotaknete nastavitve, nato jih popravite od najšibkejšega člena navzgor.

Zakaj MS-CHAPv2 ne prestane preskusa predvajanja

Če strežnik še vedno sprejema PPTP z MS-CHAPv2, tunel gesla ne ščiti v nobenem smiselnem smislu. Izziv in odgovor je mogoče ujeti in napasti brez povezave, leta 2012 pa je javna storitev za lomljenje pokazala obnovitev iz takega rokovanja v približno enem dnevu za tipično geslo. Daljše in bolj zapleteno geslo zviša strošek; ne odstrani gradiva, ki ga napadalec potrebuje iz omrežja.

Lastnost, ki jo želite, so poverilnice, ki jih ni mogoče predvajati znova. EAP-TLS s potrdili odjemalca daje vsaki napravi lastno identiteto in vam omogoča preklic natanko ene naprave.

Uvajanje potrdil je resnično delo: zasebna CA, pot preklica, ki jo odjemalci preverijo, in načrt obnove, ki prestane menjavo osebja. To delo obravnavajte kot projekt in ne kot oviro med vami in delujočim tunelom. Načrtujte zanj proračun tako, kot bi ga za zamenjavo požarnega zidu. Skupno geslo je cenejše le do prvega preklica.

Vnaprej souporabljen ključ overi par, ne osebe

L2TP/IPsec z vnaprej souporabljenim ključem dokazuje, da dve prehodni točki poznata isto skrivnost. Ne pove ničesar o tem, kateri človek se povezuje, in na tej ravni ne more razlikovati enega zaposlenega od drugega. Uporabite dolgo naključno vrednost, precej nad desetimi znaki, ki jih predlagajo nekateri priročniki, ker kdor ujame rokovanje, lahko ključ napade brez povezave.

Vsak odjemalec v tem profilu si deli skrivnost, zato odstranitev ene osebe pomeni njeno ponovno razdelitev vsem ostalim. Ohranite ločen korak preverjanja pristnosti uporabnika nad skrivnostjo na ravni stroja in s povečevanjem števila odjemalcev preidite na potrdila. Vnaprej souporabljen ključ skupaj z MS-CHAPv2 sta dve šibki plasti, druga pa razveljavi prvo.

Avtorizacija spada v Network Policy Server

NPS v Windows odloča, kdo se sme povezati, in to stori po tem, ko je preverjanje pristnosti že uspelo. Ta ločitev je najkoristnejši utrjevalni nadzor v izdelku, in veliko namestitev ga pusti nedotaknjenega.

Uporabite pogoje pravilnika, ki odražajo resnične omejitve: članstvo v skupini, časovno okno, ko je podpora kadrovsko pokrita, in stanje naprave iz preverjanja zdravja. Dodajte drugi dejavnik tam, kjer podatki upravičujejo trenje, in ne pozabite, da se pravilnik ocenjuje ob vsakem poskusu povezave, kar ga naredi živi nadzor in ne dokument.

RADIUS obračun vam da tudi en zapis o tem, kdo se je povezal in kdaj. Ta dnevnik je razlika med pregledom incidenta in ugibanjem, in obstaja ne glede na to, ali ga kdo kdaj prebere.

Omejite, do česar lahko pride uspešna prijava

Adapter VPN bi moral pristati v profilu požarnega zidu, ki dovoljuje storitve, potrebne za njegovo vlogo, in ne celotne podomrežje. Vprašanje usmerjanja je ločeno od filtriranja. Polni tunel varuje odjemalsko napravo in pošilja vsak bajt skozi vašo vzpenjalko, deljeni tunel pa ohranja lokalni promet lokalni in izpostavlja napravo vsakemu omrežju, v katerem se znajde.

Nobena od obeh izbir ni varnostna privzeta vrednost. Obe je treba zapisati ob profilu požarnega zidu, ki ga predpostavljata.

Preverite poti odpovedi

Preizkusite, kaj bi se moralo zlomiti: napačno geslo, poteklo potrdilo, preklicana naprava, uporabnik izven skupine. Vsak bi moral odpovedati na drugi točki, dnevnik pa bi moral povedati, katera je bila. Zaženite nabor najprej na preizkusnem računu, nato ga ponovite za resničnega uporabnika. Zavrnitev, ki brez razloga pride v dnevnik dogodkov, je vredna popravka veliko prej, preden boste ta zapis potrebovali.

Nato potrdite, katera vrata so objavljena in zakaj. PPTP potrebuje TCP 1723 in GRE kot protokol IP namesto vrat, IKEv2 potrebuje UDP 500 in 4500, L2TP pa potrebuje UDP 1701 in IPsec. Izpostavljanje upravljalnega vmesnika, da se odjemalec poveže, ni popravilo, je drugi incident, ki čaka, da ga odkrijejo.

Na koncu odločite, kaj strežnik beleži in kako dolgo. Končna točka brez zgodovine preverjanja pristnosti ne more odgovoriti na prvo vprašanje po incidentu, in sicer ali je bil poskus kdaj odobren.