RouterOS OpenVPN iyo NPS: dhig user-auth-method, aan ahayn auth

RouterOS waxa uu gaari karaa NPS isagoo isticmaalaya gelitaan OpenVPN oo wali la diidi karo, sababta caadiga ahna waa laba dejitaan oo magacyadoodu labaduba u eg yihiin aqoonsi. Mid waxa uu doortaa digest-ka sirta ah ee tunnel-ka; tan kale waxa ay go'aamisaa sida aqoonsiga isticmaalaha loo soo bandhigo RADIUS. Beddelka digest-ka waligiis ma beddeli doono codsi PAP oo noqda MS-CHAPv2, inta badan ee adeeggu dib u bilaabmo. Liiska hubsashada ee hoose waxa uu kala soocaa labada, ka dibna waxa uu raacaa hal gelitaan guuldareystay iyada oo loo marayo siyaasadda NPS ee qiimeysay.

Tallaabo 1: akhri labada dejitaan ka hor inta aadan beddelin mid

Daabac qaabeynta adeegga OpenVPN ee waxtarka leh ee router-ka joojiya tunnel-ka, ma aha nuqul kayd ah ama post forum la koobiyeeyay. Labada goobood ee ay khuseyso waxa ay inta badan ku yaallaan isla menu waxaana loo akhriyaa sidii in ay yihiin beddello. Ma aha: mid waxa uu ku saabsan yahay kanaalka xogta, kan kalena isdhaafsiga aqoonsiga.

/interface ovpn-server server print
/interface ovpn-server server export

Goobta auth waxa ay taxdaa digest-yada sida sha1 iyo sha256 waxaana ay maamushaa HMAC-ka aqoonsiga baakidhka tunnel-ka. Goobta user-auth-method waxa ay doorataa pap ama mschap2 waxaana ay go'aamisaa sida router-ku u soo bandhigo aqoonsiga isticmaalaha RADIUS. Beddelka digest-ku ma beddeli karo habdhaqanka labaad, taasina waa sababta diidmadaas oo kale ay ka badbaaddo wax kasta oo lagu hagaajiyo kan koowaad.

Halkan ku joog haddii nuqulkaagu aanu muujin user-auth-method haba yaraatee. Dhismayaasha RouterOS ee hore waxa laga yaabaa in aanay ku soo bandhigin adeegga OpenVPN, hagaajintuna waxa ay ku jirtaa nuqul aad taageeri karto, ma aha amar laga soo koobiyeeyay mid cusub.

Tallaabo 2: hel siyaasadda dhab ahaan diiday gelitaanka

Dhinaca NPS, codsiga isku xirka waxa lagu qiimeeyaa siyaasadaha shabakadda, habka aqoonsiga lagu sheegay siyaasadda u dhiganta waa in uu noqdaa mid ka mid ah kuwa macmiilku dhab ahaan soo bandhigay. Ku xidh hal gelitaan guuldareystay waqti iyo isticmaale halkii aad akhrin lahayd tiro kooban. Diiwaanka amniga waxa uu diiwaangeliyaa codsiyada la oggolaaday iyo kuwa la diiday oo leh kood sabab, taas oo kuu sheegta wax badan ka badan sadarka guuldada guud ee router-ka.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Akhri saddex shay dhacdada: magaca siyaasadda u dhiganta, habka aqoonsiga iyo koodka sababta. Siyaasad u baahan MS-CHAPv2 waxa ay diiddaa codsi PAP xitaa marka password-ku sax yahay, siyaasad u baahan akoon domain-na waxa ay diiddaa mid maxalli ah. Diiwaanka macmiilka RADIUS sidoo kale waa in uu la jaanqaadaa cinwaanka isha router-ka, haddii kale codsiga waxa la tuurayaa ka hor inta aan siyaasad lagu tashan. Mid ka mid ah kuwan ma muuqdo diiwaanka OpenVPN.

Halkan ku joog haddii codsigu waligiis aanu gaarin NPS. Taasi waa dhibaato sir la wadaago, cinwaanka macmiilka ama UDP 1812, beddelka hababka aqoonsiguna ma hagaajin doono.

Tallaabo 3: beddel hal hab, labada dhinac

Haddii nashqadda la ansixiyay ay tahay MS-CHAPv2, ku dhig router-ka oo xaqiiji in siyaasadda u dhigantu ay aqbasho. Beddel hal dhinac, dib u tijaabi, ka dibna beddel kan kale; labadaba wada beddelashada waxa ay kaa dhigtaa mid aan sheegi karin kee baa muhiim ahaa.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Ha daarin hab kasta oo daciif ah NPS si khaladku u guuro. Dhabarka waa in uu hayaa shay ay habka la doortay xaqiijin karto: MS-CHAPv2 waxa uu u baahan yahay gelitaan password-ka ama domain-ka, siyaasadna ma abuuri karto shaygaas. Ballaarinta siyaasadda waxa ay sidoo kale ballaarisaa waxa weeraryahanu ku tijaabin karo isla akoonkaas. Qor habka, magaca siyaasadda iyo tixraaca isbeddelka wada, si qofka xiga uu u dhaxlo go'aan halkii uu ka dhaxli lahaa mala-awaal.

Ka tag xaqiijinta shahaadada tunnel-ka sidii ay ahayd. Habka aqoonsigu ma beddelo aqoonsiga adeegga, hoos u dhigista hubinta TLS si imtixaan u gudbo waxa ay dhibaato ku beddelaysaa mid ka xun.

Tallaabo 4: tijaabi saddex gelitaan iyo hal oggolaansho

Tijaabi isticmaale la oggolaaday, password khaldan iyo isticmaale laga saaray, mid kastaba fadhi cusub. Kan koowaad waxa uu caddeeyaa jidka, kan labaad waxa uu caddeeyaa in hubinta aqoonsigu dhab tahay, kan saddexaadna waxa uu caddeeyaa in siyaasaddu ay wali ka saarayso kuwa ay tahay in ay ka saarto. Fadhi kaydsan ayaa qarin kara saddexda, sidaas darteed ka go' kala go' isku dayga dhexdiisa.

/log print where topics~"ovpn"
/radius monitor 0

Guusha aqoonsigu ma aha dhammaadka liiska. Hubi cinwaanka macmiilku helay iyo kheyraadka uu cinwaankaas gaari karo, maxaa yeelay isticmaale waxa uu si sax ah u aqoonsan karaa oo wali ku dhici karaa barkada khaldan. Haddii cinwaanka la qoondeeyay uu khaldan yahay, dhibaatadu waxa ay ku jirtaa profile-ka ama sifooyinka jawaabta RADIUS, ma aha habka. Xaqiiji labadaba ka hor inta aadan xidhin tikit-ka.

Liiska waxa uu dhammaaday marka dejinta router-ka iyo siyaasadda NPS ay sheegaan isla hab, isticmaale la oggolaaday uu ku xidhmo fadhi cusub, password khaldan la diido, isticmaale laga saaray uu sii ahaado mid laga saaray, cinwaanka la qoondeeyayna uu la jaanqaado barkada loogu talagalay. Wax kasta oo ka yar waxa uu gelitaanka xiga u dhiibaa shil.