Укидање PPTP/MS-CHAPv2: приручник за застарели VPN

Лозинке од двадесет знакова, које се мењају сваког месеца и чувају у сефу, не претварају PPTP сервер са MS-CHAPv2 у модеран VPN. Лозинка је улаз у размену чија слабост живи у самој размени. Овај приручник је за онога ко је наследио тај сервер и мора да премести кориснике са њега, а да притом не одсече локацију која од њега зависи. Обавите кораке редом, јер сваки оставља запис који ће вам требати када неко упита зашто се приступ одједном променио.

Запишите стек пре него што било шта дирнете

Три слоја се стапају у реч PPTP и сваки пада на свој начин. Тунел је сам PPTP, GRE плус TCP 1723. Аутентификација је онај PPP метод који сервер нуди, овде MS-CHAPv2. Заштита везе је MPPE, чији се кључеви изводе из те аутентификационе размене. Именовање сва три спречава да каснија поправка слети на погрешан слој.

Читајте живу конфигурацију уместо да верујете вики страници, и забележите датотеку, слушача и последње сесије које су се аутентификовале.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

На Windows улози за даљински приступ исти попис долази из две команде, а друга је важна јер улога може да оглашава неколико метода одједном, док клијенти на терену увек преговарају само најслабију.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Одредите шта тунел данас стварно преноси

Наведите потрошаче пре него што одаберете замену: преносни рачунари у покрету, рутер огранка, платни терминал, скуп теренских таблета. Потрошача који треба да достигне само један интерни хост лако је преместити. Потрошач уграђен у хардвер који не можете поново да флешујете може да захтева посредни пролаз уместо надоградње клијента, а та одлука припада плану, не средини преласка.

Затим питајте шта би добио нападач који може да посматра размену пријаве или на њу утиче. Код MS-CHAPv2 одговор укључује материјал који омогућава ванмрежно враћање корисничке лозинке, и управо зато дужина и ротација не поправљају дизајн: враћена тајна важи на сваком систему на ком ју је корисник поново употребио.

MPPE наслеђује исту слабост, јер њени кључеви долазе из те размене, и не даје вам интегритет по пакету ни понашање при понављању модерног AEAD шифре. Сесија која се чисто аутентификује доказала је само компатибилност са конфигурисаним проверама и ништа више.

Ни кратка пауза за ручак ни мали број корисника не претварају криптографско својство у политичко.

Изведите миграцију унутар једног прозора за одржавање

Подигните замену, докажите је једном пилот групом, па зауставите стари слушач уместо да га оставите као тиху резерву. Резерва до које сви још могу да дођу није миграција и држи слабу размену доступном управо оним корисницима који се никада не потруде да пређу.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Затворите пут кроз заштитни зид у истом прозору. GRE нема порт који се памти, па правило које дозвољава протокол 47 по броју лако промахне и оставља услугу доступном и након што демона више нема. Забележите правило које сте уклонили, његову пређашњу позицију и разлог, да га каснији преглед промена не врати случајно.

Акредитиве решавајте одвојено од конфигурације. Уклањање клијентског профила није опозив, а налог који се другде још аутентификује није изведен из употребе.

Проверите да замена обавља послове које је PPTP обављао

Контролна листа није „да ли се повезује“. Него да ли се аутентификација, додела адреса, DNS разрешавање, избор руте, понашање при поновном повезивању и провера партнера сви још држе под заменом. Тестирајте сваку ставку на пилот уређају, у том реду, и запишите запажени резултат поред очекивања.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Адреса на интерфејсу доказује да је преговарање завршено. Она не доказује да је далека страна одобрила руту коју очекујете, а горњи упит одговара само за овај хост, не за прослеђени LAN. Одговор разрешивача доказује доступност разрешивача, не да политика подељеног DNS-а шаље права имена тамо.

Поновно повезивање проверите последње, јер ту већина замена назад ује: успавајте преносни рачунар, промените мреже и потврдите да се тунел поново успоставља без остављања застарелих рута.

Враћање, опозив и запис који остављате

Враћање враћа услугу; не враћа безбедност, и ту разлику треба изговорити наглас пре него што се прозор отвори. Ако нови пут закаже, вратите кориснике кроз другу модерну крајњу тачку или привремени пролаз, а не поновним укључивањем PPTP-а за све. Задржавање једног хитног пута на старом протоколу проширује изложеност коју сте управо документовали.

Након преласка опозовите налоге који су се аутентификовали преко PPTP-а, пустите њихове сачуване профиле да истекну и потврдите да је GRE правило нестало са сваког ивичног уређаја, укључујући копију за опоравак од катастрофе које се нико не сећа.

Оставите кратак запис: протоколе које сте нашли, датум када је сваки слушач стао, верзије клијената које замена подржава и власника који може поново да отвори одлуку. Хигијена лозинки је и даље важна после тога, али као хигијена на протоколу који је заслужује, а не као аргумент за одржавање старог на животу.