Forcimi i VPN në Windows: rregulloni vërtetimin para tunelit

Serveri juaj VPN në Windows kërkon një emër përdoruesi dhe një fjalëkalim, dhe ai dialog i vetëm fsheh tre detyra të palidhura. Një dëshmon kush është personi, një pengon dikë që vëzhgon linjën ta ripërdorë atë provë, dhe një vendos se cilat adresa mund të arrijë më pas. Shumica e vendosjeve të vogla forcojnë së pari tunelin dhe i lënë dy detyrat e para në vlerat e paracaktuara, dhe ky është rendi i gabuar.

Punoni në rendin në të cilin punon sulmuesi. Së pari ajo që mund të kapet nga linja. Pastaj ajo që mund të riprodhohet më vonë me atë regjistrim. Së fundi, ajo ku një sulmues i vërtetuar mund të arrijë pasi të jetë brenda.

Tre detyra, një dialog

Identiteti është pjesa për të cilën mendojnë njerëzit, dhe është vetëm një e treta e problemit. Prova e identitetit duhet t'i rezistojë një vëzhguesi që regjistron shkëmbimin dhe provon përsëri më vonë. Autorizimi është një vendim i veçantë që serveri merr pasi identiteti të jetë përcaktuar, dhe Windows e mban atë në një shërbim tjetër nga ai që vërteton kredencialet.

Kur të tre jetojnë në një kovë mendore, rezultati i zakonshëm është një server që vërteton fuqishëm dhe më pas lejon përdoruesin të arrijë gjithçka. Rregullimi i kësaj më vonë është më i vështirë sesa vendosja e politikës tani, sepse deri atëherë profili i murit të zjarrit, grupi i adresave dhe rrugët të gjitha kodojnë supozimin e vjetër.

Ndani të tre në shënimet tuaja përpara se të prekni ndonjë cilësim, dhe më pas rregulloni ata nga lidhja më e dobët e lart.

Pse MS-CHAPv2 nuk e kalon një provë riprodhimi

Nëse serveri ende pranon PPTP me MS-CHAPv2, tuneli nuk e mbron fjalëkalimin në asnjë kuptim domethënës. Sfida dhe përgjigja mund të kapen dhe të sulmohen jashtë linje, dhe në 2012 një shërbim publik thyerjeje demonstroi rikuperimin nga një shtrëngim duarsh i tillë në rreth një ditë për një fjalëkalim tipik. Një fjalëkalim më i gjatë dhe më kompleks rrit koston; nuk e heq materialin që sulmuesi i nevojitet nga rrjeti.

Vetia që dëshironi është një kredencial që nuk mund të riprodhohet. EAP-TLS me certifikata klienti i jep çdo pajisjeje identitetin e vet dhe ju lejon të revokoni saktësisht një pajisje.

Vendosja e certifikatave është punë e vërtetë: një CA private, një rrugë revokimi që klientët kontrollojnë, dhe një plan rinovimi që i mbijeton qarkullimit të stafit. Trajtojeni atë punë si projekti dhe jo si pengesë mes jush dhe një tuneli që funksionon. Buxhetoni për të ashtu siç do të buxhetonit për një zëvendësim muri zjarri. Një fjalëkalim i përbashkët është më i lirë vetëm deri në revokimin e parë.

Një çelës i para-ndarë vërteton çiftin, jo personin

L2TP/IPsec me një çelës të para-ndarë vërteton se dy porta njohin të njëjtin sekret. Nuk thotë asgjë për atë se cili njeri po lidhet, dhe nuk mund të dallojë një punonjës nga një tjetër në atë shtresë. Përdorni një vlerë të gjatë të rastësishme, shumë mbi dhjetë karakteret që sugjerojnë disa udhëzues, sepse kushdo që kap shtrëngimin e duarve mund ta sulmojë çelësin jashtë linje.

Çdo klient në atë profil e ndan sekretin, kështu që heqja e një personi do të thotë rishpërndarja e tij tek të gjithë ata që mbeten. Mbani një hap të veçantë vërtetimi përdoruesi mbi sekretin në nivel makine, dhe kaloni në certifikata ndërsa popullsia e klientëve rritet. Një çelës i para-ndarë i kombinuar me MS-CHAPv2 janë dy shtresa të dobëta, dhe e dyta e anulon të parën.

Autorizimi i përket Network Policy Server

NPS në Windows vendos kush mund të lidhet, dhe e bën këtë pasi vërtetimi ka pasur sukses tashmë. Ai ndarje është kontrolli më i dobishëm i forcimit në produkt, dhe shumë vendosje e lënë të paprekur.

Përdorni kushte politike që pasqyrojnë kufizime reale: anëtarësimi në grup, dritarja kohore kur mbështetja ka staf, dhe gjendja e pajisjes nga një kontroll shëndetësor. Shtoni një faktor të dytë aty ku të dhënat e justifikojnë fërkimin, dhe mbani mend se politika vlerësohet për çdo përpjekje lidhjeje, gjë që e bën atë kontrolle të gjallë dhe jo dokument.

Kontabiliteti RADIUS ju jep gjithashtu një regjistrim se kush u lidh dhe kur. Ai regjistër është ndryshimi mes një rishikimi incidenti dhe një hamendjeje, dhe ekziston pavarësisht nëse dikush e lexon ndonjëherë.

Kufizoni ku mund të arrijë një hyrje e suksesshme

Përshtatësi VPN duhet të ulet në një profil muri zjarri që lejon shërbimet që i nevojiten rolit të tij dhe jo të gjithë nënrrjetin. Çështja e rrugëtimit është e ndarë nga filtrimi. Një tunel i plotë mbron pajisjen e klientit dhe shtyn çdo bajt përmes lidhjes tuaj ngjitëse, ndërsa një tunel i ndarë e mban trafikun lokal lokal dhe e ekspozon pajisjen ndaj çdo rrjeti ku ndodhet.

Asnjëra nga dy zgjedhjet nuk është vlerë e paracaktuar sigurie. Të dyja duhet të shkruhen pranë profilit të murit të zjarrit që supozojnë.

Verifikoni rrugët e dështimit

Provoni çfarë duhet të thyhet: një fjalëkalim i gabuar, një certifikatë e skaduar, një pajisje e revokuar, një përdorues jashtë grupit. Secili duhet të dështojë në një pikë të ndryshme, dhe regjistri duhet të thotë cili ishte. Ekzekutoni grupin së pari në një llogari testimi, pastaj përsëriteni për një përdorues real. Një refuzim që mbërrin në regjistrin e ngjarjeve pa arsye ia vlen të rregullohet shumë përpara se t'ju duhet ai regjistrim.

Pastaj konfirmoni cilat porta janë publikuar dhe pse. PPTP kërkon TCP 1723 dhe GRE si protokoll IP dhe jo si port, IKEv2 kërkon UDP 500 dhe 4500, dhe L2TP kërkon UDP 1701 plus IPsec. Ekspozimi i një ndërfaqeje administrimi që një klient të lidhet nuk është riparim, është një incident i dytë që pret të zbulohet.

Së fundi, vendosni çfarë regjistron serveri dhe për sa kohë. Një pikë fundore pa histori vërtetimi nuk mund t'i përgjigjet pyetjes së parë pas një incidenti, domethënë nëse përpjekja ishte ndonjëherë e autorizuar.