Heqja e PPTP/MS-CHAPv2: udhëzues për një VPN të vjetër

Fjalëkalimet me njëzet karaktere, që ndërrohen çdo muaj dhe mbahen në kasafortë, nuk e kthejnë një server PPTP me MS-CHAPv2 në një VPN moderne. Fjalëkalimi është një hyrje në një shkëmbim, dobësia e të cilit qëndron në vetë shkëmbimin. Ky udhëzues është për atë që e ka trashëguar atë server dhe duhet t'i zhvendosë përdoruesit prej tij pa prerë faqen që varet prej tij. Kryeni hapat me radhë, sepse secili lë një regjistrim që do t'ju duhet kur dikush të pyesë pse aksesi ndryshoi papritur.

Shkruani pirgun përpara se të prekni çdo gjë

Tre shtresa bashkohen në fjalën PPTP dhe secila dështon në mënyrën e vet. Tuneli është vetë PPTP, GRE plus TCP 1723. Autentikimi është metoda PPP që ofron serveri, këtu MS-CHAPv2. Mbrojtja e lidhjes është MPPE, çelësat e së cilës rrjedhin nga ai shkëmbim autentikimi. Emërtimi i të trejave pengon që një korrigjim i mëvonshëm të ulet në shtresën e gabuar.

Lexoni konfigurimin e gjallë në vend që të besoni një faqe wiki, dhe shënoni skedarin, dëgjuesin dhe sesionet e fundit që u autentikuan.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Në një rol aksesi në distancë të Windows i njëjti inventar vjen nga dy komanda, dhe e dyta ka rëndësi sepse një rol mund të reklamojë disa metoda njëherësh, ndërsa klientët në terren gjithmonë negociojnë vetëm më të dobëtën.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Vendosni çfarë transporton tuneli sot në të vërtetë

Listoni përdoruesit përpara se të zgjidhni një zëvendësues: laptopë në lëvizje, një router dege, një terminal pagese, një grup tabletësh në terren. Një përdorues që duhet të arrijë vetëm një host të brendshëm zhvendoset lehtë. Një përdorues i integruar në harduer që nuk mund ta riflashoni mund të ketë nevojë për një portë të ndërmjetme në vend të një përditësimi klienti, dhe ai vendim i takon planit, jo mesit të kalimit.

Më pas pyesni çfarë do të fitonte një sulmues që mund të vëzhgojë ose të ndikojë në shkëmbimin e hyrjes. Me MS-CHAPv2 përgjigjja përfshin material që lejon rikuperimin jashtë linje të fjalëkalimit të përdoruesit, dhe pikërisht për këtë gjatësia dhe rrotullimi nuk e rregullojnë dizajnin: sekreti i rikuperuar është i vlefshëm në çdo sistem ku përdoruesi e ripërdori atë.

MPPE trashëgon të njëjtën dobësi, pasi çelësat e saj vijnë nga ai shkëmbim, dhe nuk ju jep integritetin për paketë as sjelljen e ripërsëritjes të një shifre AEAD moderne. Një sesion që autentikohet pastër ka provuar vetëm përputhshmërinë me kontrollet e konfiguruara dhe asgjë më shumë.

As pushimi i shkurtër i drekës as numri i vogël i përdoruesve nuk e kthejnë një veti kriptografike në veti politike.

Kryeni migrimin brenda një dritareje të vetme mirëmbajtjeje

Ngritni zëvendësuesin, provojeni me një grup pilot, pastaj ndalni dëgjuesin e vjetër në vend që ta lini si një rezervë të heshtur. Një rezervë që të gjithë mund ta arrijnë ende nuk është migrim, dhe e mban shkëmbimin e dobët në dispozicion pikërisht për ata përdorues që nuk lodhen kurrë të kalojnë.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Mbyllni rrugën e murit të zjarrit në të njëjtën dritare. GRE nuk ka port që duhet mbajtur mend, prandaj një rregull që lejon protokollin 47 sipas numrit kalon lehtë pa u vënë re dhe e lë shërbimin të arritshëm edhe pasi daemoni të ketë ikur. Regjistroni rregullin e hequr, pozicionin e tij të mëparshëm dhe arsyen, që një rishikim i mëvonshëm i ndryshimeve të mos e rikthejë aksidentalisht.

Trajtoni kredencialet veçmas nga konfigurimi. Heqja e një profili klienti nuk është revokim, dhe një llogari që autentikohet ende diku tjetër nuk është tërhequr.

Verifikoni se zëvendësuesi bën punën që bënte PPTP

Lista e kontrollit nuk është “lidhet apo jo”. Është nëse autentikimi, caktimi i adresave, zgjidhja e DNS, zgjedhja e rrugës, sjellja e rilidhjes dhe verifikimi i palës tjetër qëndrojnë të gjitha nën zëvendësuesin. Testoni secilin në një pajisje pilot, në atë rend, dhe shkruani rezultatin e vëzhguar pranë pritshmërisë.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Një adresë në ndërfaqe provon që negociimi përfundoi. Nuk provon që pala e largët autorizoi rrugën që prisni, dhe kërkimi më sipër përgjigjet vetëm për këtë host, jo për një LAN të përcjellë. Përgjigjja e një zgjidhësi provon arritshmërinë e një zgjidhësi, jo që politika e DNS të ndarë dërgon atje emrat e duhur.

Testoni rilidhjen në fund, sepse aty shumica e zëvendësuesve regresojnë: vini një laptop në gjumë, ndërroni rrjetet dhe konfirmoni që tuneli rivendoset pa lënë rrugë të vjetruara.

Kthimi, revokimi dhe regjistri që lini pas

Kthimi rikthen shërbimin; nuk rikthen sigurinë, dhe ai dallim duhet thënë me zë të lartë përpara se të hapet dritarja. Nëse rruga e re dështon, ktheni përdoruesit përmes një pike të dytë moderne fundore ose një porte të përkohshme, jo duke riaktivizuar PPTP për të gjithë. Mbajtja e një rruge emergjence në protokollin e vjetër zgjeron ekspozimin që sapo dokumentuat.

Pas kalimit, revokoni llogaritë që u autentikuan përmes PPTP, lërini profilet e ruajtura të skadojnë dhe konfirmoni që rregulli GRE është zhdukur nga çdo pajisje e skajit, përfshirë kopjen e rikuperimit nga fatkeqësia që askush nuk e mban mend.

Lini një regjistër të shkurtër: protokollet që gjetët, datën kur u ndal secili dëgjues, versionet e klientit që mbështet zëvendësuesi dhe pronarin që mund ta rihapë vendimin. Higjiena e fjalëkalimeve vazhdon të ketë rëndësi më pas, por si higjienë mbi një protokoll që e meriton, jo si argument për ta mbajtur të vjetrin gjallë.