RouterOS OpenVPN na NPS: weka user-auth-method, si auth

Katika RouterOS, auth huchagua digest ya handaki wakati user-auth-method huamua jinsi ombi la RADIUS linavyokaguliwa. Linganisha la pili na sera ya NPS.

RouterOS inaweza kufikia NPS kwa kuingia kwa OpenVPN na bado ikakataliwa, na sababu ya kawaida ni mipangilio miwili ambayo majina yake yote yanasikika kama uthibitishaji. Kimoja huchagua digest ya kriptografia kwa handaki; kingine huamua jinsi taarifa za kuingia za mtumiaji zinavyowasilishwa kwa RADIUS. Kubadilisha digest hakutabadilisha ombi la PAP kuwa MS-CHAPv2 kamwe, bila kujali huduma inaanzishwa upya mara ngapi. Orodha ya ukaguzi hapa chini hutenganisha hizo mbili, kisha hufuata ingia moja iliyoshindikana kupitia sera ya NPS iliyoihukumu.

Hatua 1: soma mipangilio yote miwili kabla ya kubadilisha yoyote

Chapisha usanidi halisi wa seva ya OpenVPN kwenye kipanga njia kinachomaliza handaki, si kutoka nakala rudufu au chapisho la jukwaa lililonakiliwa. Sehemu mbili zinazokuhusu kawaida ziko kwenye menyu moja na zinasomwa kana kwamba ni njia mbadala. Sio: moja inahusu njia ya data, nyingine ubadilishanaji wa taarifa za kuingia.

/interface ovpn-server server print
/interface ovpn-server server export

Sehemu auth huorodhesha digest kama sha1 na sha256 na hudhibiti HMAC inayothibitisha pakiti za handaki. Sehemu user-auth-method huchagua pap au mschap2 na huamua jinsi kipanga njia kinawasilisha taarifa za kuingia za mtumiaji kwa RADIUS. Mabadiliko ya digest hayawezi kubadilisha tabia ya pili, na ndiyo sababu kukataliwa huko huko kunadumu baada ya kila marekebisho ya kwanza.

Simama hapa ikiwa toleo lako halionyeshi user-auth-method kabisa. Miundo ya zamani ya RouterOS inaweza kuwa haitoi kwenye seva ya OpenVPN, na marekebisho ni ya toleo unaloweza kusaidia, si ya amri iliyonakiliwa kutoka toleo jipya.

Hatua 2: pata sera iliyokataa ingia kwa kweli

Kwa upande wa NPS, ombi la muunganisho hupimwa dhidi ya sera za mtandao, na njia ya uthibitishaji iliyotajwa kwenye sera inayolingana lazima iwe moja ambayo mteja aliwasilisha kwa kweli. Unganisha ingia moja iliyoshindikana kwa muda na mtumiaji badala ya kusoma hesabu ya muhtasari. Kumbukumbu ya usalama hurekodi maombi yaliyokubaliwa na kukataliwa na msimbo wa sababu, ambayo inakuambia mengi zaidi kuliko mstari wa jumla wa hitilafu wa kipanga njia.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Soma mambo matatu katika tukio: jina la sera inayolingana, njia ya uthibitishaji na msimbo wa sababu. Sera inayohitaji MS-CHAPv2 hukataa ombi la PAP hata neno la siri likiwa sahihi, na sera inayohitaji akaunti ya kikoa hukataa ya ndani. Rekodi ya mteja wa RADIUS pia lazima ilingane na anwani ya chanzo ya kipanga njia, vinginevyo ombi hutupwa kabla ya sera yoyote kushauriwa. Hakuna hata moja ya haya yanayoonekana kwenye kumbukumbu ya OpenVPN.

Simama hapa ikiwa ombi halifiki NPS kamwe. Hilo ni tatizo la siri inayoshirikiwa, anwani ya mteja au UDP 1812, na kubadilisha njia za uthibitishaji hakutalirekebisha.

Hatua 3: badilisha njia moja, pande zote mbili

Ikiwa muundo ulioidhinishwa ni MS-CHAPv2, iweke kwenye kipanga njia na uthibitishe kuwa sera inayolingana inaikubali. Badilisha upande mmoja, jaribu tena, kisha badilisha mwingine; kubadilisha zote kwa mara moja kunakuacha usiweze kusema ipi ilikuwa muhimu.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Usiwashe kila njia dhaifu kwenye NPS ili hitilafu ipotee. Backend lazima iwe na nyenzo ambazo njia iliyochaguliwa inaweza kuthibitisha: MS-CHAPv2 inahitaji ufikiaji wa neno la siri au kikoa, na sera haiwezi kubuni nyenzo hizo. Kupanua sera hupanua pia kile ambacho mshambuliaji anaweza kujaribu dhidi ya akaunti hiyo hiyo. Andika njia, jina la sera na kumbukumbu ya mabadiliko pamoja, ili mtu anayefuata arithi uamuzi badala ya dhana.

Acha uthibitishaji wa cheti cha handaki jinsi ulivyokuwa. Njia ya taarifa za kuingia haichukui nafasi ya utambulisho wa seva, na kupunguza ukaguzi wa TLS ili jaribio lipite hubadilisha tatizo moja kwa baya zaidi.

Hatua 4: jaribu ingia tatu na ruhusa moja

Jaribu mtumiaji anayeruhusiwa, neno la siri lisilo sahihi na mtumiaji aliyetengwa, kila mmoja katika kikao kipya. La kwanza linathibitisha njia, la pili linathibitisha kuwa ukaguzi wa taarifa za kuingia ni halisi, na la tatu linathibitisha kuwa sera bado inawatenga wanaostahili. Kikao kilichohifadhiwa kwenye akiba kinaweza kuficha yote matatu, kwa hivyo tenganisha kati ya majaribio.

/log print where topics~"ovpn"
/radius monitor 0

Mafanikio ya uthibitishaji si mwisho wa orodha. Angalia anwani ambayo mteja alipokea na rasilimali ambazo anwani hiyo inaweza kufikia, kwa sababu mtumiaji anaweza kuthibitika kwa usahihi na bado akaanguka kwenye dimbwi lisilo sahihi. Ikiwa anwani iliyotolewa si sahihi, tatizo liko kwenye wasifu au sifa za jibu la RADIUS, si kwenye njia. Thibitisha zote mbili kabla ya kufunga tikiti.

Orodha inakamilika wakati mpangilio wa kipanga njia na sera ya NPS zinataja njia moja, mtumiaji anayeruhusiwa anaunganisha kwa kikao kipya, neno la siri lisilo sahihi linakataliwa, mtumiaji aliyetengwa anabaki ametengwa, na anwani iliyotolewa inalingana na dimbwi lililokusudiwa. Kitu chochote kidogo kinaacha ingia inayofuata kwa bahati.

Makala zinazohusiana