PPTP/MS-CHAPv2 நீக்குதல்: பழைய VPN-க்கான இயக்க கையேடு

மாதந்தோறும் மாற்றி பாதுகாப்பு அறையில் வைக்கப்படும் இருபது எழுத்து கடவுச்சொற்கள் MS-CHAPv2 இயக்கும் PPTP சேவையகத்தை நவீன VPN ஆக மாற்றாது. கடவுச்சொல் என்பது பலவீனம் அந்த பரிமாற்றத்திலேயே உள்ள ஒரு பரிமாற்றத்தின் உள்ளீடு. இந்த இயக்க கையேடு அந்த சேவையகத்தை மரபுரிமையாகப் பெற்று, அதைச் சார்ந்த தளத்தை வெட்டாமல் பயனர்களை அங்கிருந்து நகர்த்த வேண்டியவருக்கானது. படிகளை வரிசையாகச் செய்யுங்கள், ஏனெனில் ஒவ்வொன்றும் ஒரு பதிவை விட்டுச் செல்கிறது, அணுகல் திடீரென ஏன் மாறியது என்று யாராவது கேட்கும்போது அது தேவைப்படும்.

எதையும் தொடுவதற்கு முன் அடுக்கை எழுதுங்கள்

PPTP என்ற சொல்லில் மூன்று அடுக்குகள் ஒன்றிணைகின்றன, ஒவ்வொன்றும் அதன் வழியில் தோல்வியடைகிறது. சுரங்கப்பாதை PPTP தானே, GRE உடன் TCP 1723. அங்கீகாரம் சேவையகம் வழங்கும் PPP முறை, இங்கே MS-CHAPv2. இணைப்புப் பாதுகாப்பு MPPE, அதன் விசைகள் அந்த அங்கீகாரப் பரிமாற்றத்திலிருந்து பெறப்படுகின்றன. மூன்றையும் பெயரிடுவது பிந்தைய திருத்தம் தவறான அடுக்கில் விழாமல் தடுக்கிறது.

விக்கிப் பக்கத்தை நம்புவதற்குப் பதிலாக உயிர்ப்பான கட்டமைப்பைப் படியுங்கள், மேலும் கோப்பு, கேட்பான் மற்றும் அங்கீகரிக்கப்பட்ட கடைசி அமர்வுகளைப் பதிவு செய்யுங்கள்.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows தொலைஅணுகல் பங்கில் அதே பட்டியல் இரண்டு கட்டளைகளிலிருந்து வருகிறது, இரண்டாவது முக்கியமானது, ஏனெனில் ஒரு பங்கு பல முறைகளை ஒரே நேரத்தில் விளம்பரப்படுத்த முடியும், ஆனால் களத்தில் உள்ள வாடிக்கையாளர்கள் எப்போதும் மிகவும் பலவீனமானதை மட்டுமே பேச்சுவார்த்தை செய்கிறார்கள்.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

இன்று சுரங்கப்பாதை உண்மையில் எதைக் கொண்டு செல்கிறது என்பதைத் தீர்மானியுங்கள்

மாற்றீட்டைத் தேர்ந்தெடுப்பதற்கு முன் பயனர்களைப் பட்டியலிடுங்கள்: சுற்றித் திரியும் மடிக்கணினிகள், ஒரு கிளை ரவுட்டர், ஒரு கட்டண முனையம், களத்து டேப்லெட்டுகளின் தொகுப்பு. ஒரே ஒரு உள் புரவலனை அடைய வேண்டிய பயனரை நகர்த்துவது எளிது. மீண்டும் ஃபிளாஷ் செய்ய முடியாத வன்பொருளில் பதிந்திருக்கும் பயனருக்கு வாடிக்கையாளர் மேம்பாட்டுக்குப் பதிலாக இடைநிலை நுழைவாயில் தேவைப்படலாம், அந்த முடிவு மாற்றத்தின் நடுவில் அல்ல, திட்டத்தில் இருக்க வேண்டும்.

பின்னர் உள்நுழைவுப் பரிமாற்றத்தைக் கவனிக்கவோ பாதிக்கவோ கூடிய தாக்குபவர் என்ன பெறுவார் என்று கேளுங்கள். MS-CHAPv2 உடன் பதிலில் பயனரின் கடவுச்சொல்லை இணையமின்றி மீட்டெடுக்க உதவும் பொருள் அடங்கும், அதனால்தான் நீளமும் சுழற்சியும் வடிவமைப்பைச் சரிசெய்யாது: மீட்டெடுக்கப்பட்ட ரகசியம் பயனர் அதை மீண்டும் பயன்படுத்திய ஒவ்வொரு அமைப்பிலும் செல்லுபடியாகும்.

MPPE அதே பலவீனத்தை மரபுரிமையாகப் பெறுகிறது, அதன் விசைகள் அந்தப் பரிமாற்றத்திலிருந்து வருவதால், மேலும் அது நவீன AEAD மறையீட்டின் ஒவ்வொரு பொட்டல அளவிலான ஒருமைப்பாட்டையோ மீளியக்க நடத்தையையோ தராது. தூய்மையாக அங்கீகரிக்கப்பட்ட அமர்வு கட்டமைக்கப்பட்ட சரிபார்ப்புகளுடன் இணக்கத்தை மட்டுமே நிரூபித்துள்ளது, அதற்கு மேல் எதுவுமில்லை.

குறுகிய மதிய உணவு இடைவேளையோ சிறிய பயனர் எண்ணிக்கையோ ஒரு மறையீட்டுப் பண்பைக் கொள்கைப் பண்பாக மாற்றாது.

இடமாற்றத்தை ஒரே பராமரிப்பு சாளரத்திற்குள் செய்யுங்கள்

மாற்றீட்டை நிறுவுங்கள், ஒரு முன்னோடிக் குழுவுடன் அதை நிரூபியுங்கள், பின்னர் பழைய கேட்பானை அமைதியான காப்புப்பிரதியாக விடாமல் நிறுத்துங்கள். அனைவரும் இன்னும் அடையக்கூடிய காப்புப்பிரதி இடமாற்றம் அல்ல, மேலும் அது பலவீனமான பரிமாற்றத்தை மாற விரும்பாத பயனர்களுக்கே திறந்து வைக்கிறது.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

அதே சாளரத்தில் தீச்சுவர் பாதையை மூடுங்கள். GRE-க்கு நினைவில் வைக்க வேண்டிய துறைமுகம் இல்லை, எனவே எண்ணால் நெறிமுறை 47-ஐ அனுமதிக்கும் விதி எளிதில் தவறவிடப்படும், டீமன் போன பின்னரும் சேவையை அடையக்கூடியதாக விட்டுவிடும். நீங்கள் நீக்கிய விதி, அதன் முந்தைய இடம் மற்றும் காரணத்தைப் பதிவு செய்யுங்கள், பின்னர் வரும் மாற்ற ஆய்வு அதைத் தவறுதலாக மீட்டெடுக்காதபடி.

சான்றுகளை கட்டமைப்பிலிருந்து தனியாகக் கையாளுங்கள். வாடிக்கையாளர் சுயவிவரத்தை நீக்குவது ரத்து அல்ல, வேறெங்கோ இன்னும் அங்கீகரிக்கப்படும் கணக்கு ஓய்வு பெறவில்லை.

மாற்றீடு PPTP செய்த வேலைகளைச் செய்கிறதா எனச் சரிபாருங்கள்

சரிபார்ப்புப் பட்டியல் “இணைக்கிறதா” என்பது அல்ல. அங்கீகாரம், முகவரி ஒதுக்கீடு, DNS தீர்வு, பாதைத் தேர்வு, மீளிணைப்பு நடத்தை மற்றும் சக சரிபார்ப்பு அனைத்தும் மாற்றீட்டின் கீழ் நிலைத்திருக்கின்றனவா என்பதே. ஒவ்வொன்றையும் ஒரு முன்னோடி சாதனத்தில், அதே வரிசையில் சோதித்து, கவனிக்கப்பட்ட முடிவை எதிர்பார்ப்பின் அருகில் எழுதுங்கள்.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

இடைமுகத்தில் ஒரு முகவரி இருப்பது பேச்சுவார்த்தை முடிந்ததை நிரூபிக்கிறது. தொலைப் பக்கம் நீங்கள் எதிர்பார்க்கும் பாதையை அங்கீகரித்தது என்பதை அது நிரூபிக்காது, மேலே உள்ள வினவல் இந்தப் புரவலனுக்கு மட்டுமே பதிலளிக்கிறது, அனுப்பப்பட்ட LAN-க்கு அல்ல. தீர்வியின் பதில் தீர்வியின் அணுகலை நிரூபிக்கிறது, பிரிக்கப்பட்ட DNS கொள்கை சரியான பெயர்களை அங்கு அனுப்புகிறது என்பதை அல்ல.

மீளிணைப்பைக் கடைசியில் சோதியுங்கள், ஏனெனில் அங்குதான் பெரும்பாலான மாற்றீடுகள் பின்னடைகின்றன: மடிக்கணினியை உறக்கத்தில் விடுங்கள், வலையங்களை மாற்றுங்கள், பழைய பாதைகளை விட்டுவிடாமல் சுரங்கப்பாதை மீண்டும் நிறுவப்படுவதை உறுதிசெய்யுங்கள்.

பின்னிறக்கம், ரத்து மற்றும் நீங்கள் விட்டுச் செல்லும் பதிவு

பின்னிறக்கம் சேவையை மீட்டெடுக்கிறது; பாதுகாப்பை மீட்டெடுக்காது, அந்த வேறுபாட்டை சாளரம் திறக்கும் முன் சத்தமாகச் சொல்ல வேண்டும். புதிய பாதை தோல்வியடைந்தால், அனைவருக்கும் PPTP-ஐ மீண்டும் இயக்குவதற்குப் பதிலாக இரண்டாவது நவீன முனையம் அல்லது தற்காலிக நுழைவாயில் வழியாகப் பயனர்களைத் திரும்ப அழைத்து வாருங்கள். பழைய நெறிமுறையில் ஒரு அவசர பாதையை வைத்திருப்பது நீங்கள் இப்போது பதிவு செய்த வெளிப்பாட்டை விரிவுபடுத்துகிறது.

மாற்றத்திற்குப் பிறகு PPTP வழியாக அங்கீகரிக்கப்பட்ட கணக்குகளை ரத்து செய்யுங்கள், அவற்றின் சேமிக்கப்பட்ட சுயவிவரங்கள் காலாவதியாகட்டும், மேலும் யாரும் நினைவில் வைக்காத பேரழிவு மீட்பு நகலும் உட்பட ஒவ்வொரு விளிம்பு சாதனத்திலிருந்தும் GRE விதி போய்விட்டதை உறுதிசெய்யுங்கள்.

சிறு பதிவை விட்டுச் செல்லுங்கள்: நீங்கள் கண்ட நெறிமுறைகள், ஒவ்வொரு கேட்பான் நின்ற தேதி, மாற்றீடு ஆதரிக்கும் வாடிக்கையாளர் பதிப்புகள், மற்றும் முடிவை மீண்டும் திறக்கக்கூடிய உரிமையாளர். கடவுச்சொல் சுகாதாரம் பின்னரும் முக்கியம், ஆனால் அதற்குத் தகுதியான நெறிமுறையில் சுகாதாரமாக, பழையதை உயிர்ப்புடன் வைத்திருக்கும் வாதமாக அல்ல.