Јачање Windows VPN-а: поправите аутентификацију пре тунела

Ваш Windows VPN сервер тражи корисничко име и лозинку, и тај једини дијалог крије три неповезане дужности. Једна доказује ко је човек, једна спречава онога који посматра линију да поново употреби тај доказ, а једна одлучује до којих адреса сме да стигне после. Већина малих распоређивања прво ојача тунел и остави прве две дужности на подразумеваним вредностима, што је погрешан редослед.

Радите редоследом којим ради нападач. Прво оно што може да се ухвати са линије. Затим оно што касније може да се репродукује тим снимком. На крају, оно до чега аутентификовани нападач може да стигне кад је већ унутра.

Три дужности, један дијалог

Идентитет је део о ком људи размишљају, и он је само трећина проблема. Доказ идентитета мора да издржи посматрача који снима размену и касније поново покушава. А ауторизација је одвојена одлука коју сервер доноси након што је идентитет утврђен, и Windows је држи у другој служби од оне која проверава акредитиве.

Када сва три живе у једној мисаоној кантри, уобичајен исход је сервер који снажно аутентификује и потом дозвољава кориснику да стигне до свега. Поправити то касније теже је него сада одредити политику, јер до тада профил заштитног зида, базен адреса и руте већ кодирају стару претпоставку.

Одвојте три ствари у својим белешкама пре него што дотакнете било које подешавање, а затим их поправљајте од најслабије карике нагоре.

Зашто MS-CHAPv2 не издржава тест репродукције

Ако сервер још прихвата PPTP са MS-CHAPv2, тунел не штити лозинку ни у каквом суштинском смислу. Изазов и одговор могу да се ухвате и нападну ван мреже, а 2012. године јавна служба за пробијање показала је опоравак из таквог руковања за око један дан за типичну лозинку. Дужа и сложенија лозинка подиже цену; она не уклања материјал који је нападачу потребан из мреже.

Својство које желите је акредитив који не може да се репродукује. EAP-TLS са клијентским сертификатима даје сваком уређају сопствени идентитет и омогућава вам да опозовете тачно један уређај.

Увођење сертификата је прави посао: приватни CA, пут опозива који клијенти проверавају, и план обнове који преживљава смену особља. Третирајте тај посао као пројекат, а не као препреку између вас и тунела који ради. Предвидите буџет за њега као што бисте предвидели за замену заштитног зида. Заједничка лозинка је јефтинија само до првог опозива.

Унапред дељени кључ аутентификује пар, не човека

L2TP/IPsec са унапред дељеним кључем доказује да два пролаза знају исти тајни податак. Он ништа не говори о томе који се човек повезује и не може на том слоју да разликује једног запосленог од другог. Користите дугу случајну вредност, много више од десет знакова које предлажу неки приручници, јер свако ко ухвати руковање може ван мреже да нападне кључ.

Сваки клијент на том профилу дели тајни податак, па уклањање једне особе значи његову поновну поделу свима који остају. Држите одвојен корак аутентификације корисника изнад тајног податка на нивоу машине и пређите на сертификате како расте број клијената. Унапред дељени кључ у комбинацији са MS-CHAPv2 су два слаба слоја, а други поништава први.

Ауторизација припада Network Policy Server-у

NPS у Windows-у одлучује ко сме да се повеже, и то чини након што је аутентификација већ успела. То раздвајање је најкориснија контрола јачања у производу, и многа распоређивања је остављају недирнуту.

Користите услове политике који одражавају стварна ограничења: чланство у групи, временски прозор када подршка има особље, и стање уређаја из здравствене провере. Додајте други фактор тамо где подаци оправдавају трење, и запамтите да се политика процењује за сваки покушај повезивања, што је чини живим надзором, а не документом.

RADIUS књиговодство вам такође даје један запис о томе ко се и када повезао. Тај дневник је разлика између прегледа инцидента и нагађања, и постоји без обзира на то да ли га неко икада чита.

Ограничите до чега успешна пријава може да стигне

VPN адаптер би требало да слети у профил заштитног зида који дозвољава услуге потребне његовој улози, а не целу подмрежу. Питање рутирања је одвојено од филтрирања. Пун тунел штити клијентски уређај и шаље сваки бајт кроз вашу узлазну везу, док подељени тунел задржава локални саобраћај локалним и излаже уређај било којој мрежи у којој се нађе.

Ни један од два избора није безбедносна подразумевана вредност. Оба треба записати поред профила заштитног зида који претпостављају.

Проверите путеве неуспеха

Тестирајте шта би требало да се поквари: погрешна лозинка, истекао сертификат, опозван уређај, корисник ван групе. Сваки би требало да не успе на различитом месту, а дневник би требало да каже који је био. Пустите скуп прво на тест налогу, затим га поновите за стварног корисника. Одбијање које без разлога стигне у дневник догађаја вреди поправити много пре него што вам тај запис затреба.

Затим потврдите који су портови објављени и зашто. PPTP захтева TCP 1723 и GRE као IP протокол, а не порт, IKEv2 захтева UDP 500 и 4500, а L2TP захтева UDP 1701 плус IPsec. Откривање управљачког интерфејса да би се клијент повезао није поправка, то је други инцидент који чека да буде откривен.

На крају одлучите шта сервер бележи и колико дуго. Крајња тачка без историје аутентификације не може да одговори на прво питање после инцидента, наиме да ли је покушај икада био одобрен.