RouterOS OpenVPN மற்றும் NPS: auth அல்ல, user-auth-method அமைக்கவும்

RouterOS ஒரு OpenVPN உள்நுழைவுடன் NPS ஐ அடைந்தும் நிராகரிக்கப்படலாம், மேலும் வழக்கமான காரணம் இரண்டு அமைப்புகள் ஆகும், அவற்றின் பெயர்கள் இரண்டும் அங்கீகாரம் போலவே ஒலிக்கின்றன. ஒன்று சுரங்கப்பாதைக்கான குறியாக்க டைஜெஸ்ட்டைத் தேர்ந்தெடுக்கிறது; மற்றொன்று பயனரின் சான்றுகள் RADIUS க்கு எவ்வாறு வழங்கப்படுகின்றன என்பதைத் தீர்மானிக்கிறது. டைஜெஸ்ட்டை மாற்றுவது PAP கோரிக்கையை ஒருபோதும் MS-CHAPv2 ஆக மாற்றாது, சேவை எத்தனை முறை மறுதொடக்கம் செய்யப்பட்டாலும். கீழே உள்ள சரிபார்ப்புப் பட்டியல் இரண்டையும் பிரித்து, பின்னர் ஒரு தோல்வியடைந்த உள்நுழைவை அதை மதிப்பிட்ட NPS கொள்கை வழியாகப் பின்தொடர்கிறது.

படி 1: எதையும் மாற்றுவதற்கு முன் இரண்டு அமைப்புகளையும் படிக்கவும்

சுரங்கப்பாதையை முடிக்கும் ரவுட்டரில் பயனுள்ள OpenVPN சேவையக கட்டமைப்பை அச்சிடுங்கள், காப்புப்பிரதி அல்லது நகலெடுக்கப்பட்ட மன்ற இடுகையிலிருந்து அல்ல. உங்களுக்கு முக்கியமான இரண்டு புலங்கள் பொதுவாக ஒரே மெனுவில் இருக்கும், மேலும் மாற்றுகள் போலவே படிக்கப்படுகின்றன. அவை மாற்றுகள் அல்ல: ஒன்று தரவு சேனலைப் பற்றியது, மற்றொன்று சான்றுகளின் பரிமாற்றத்தைப் பற்றியது.

/interface ovpn-server server print
/interface ovpn-server server export

auth புலம் sha1 மற்றும் sha256 போன்ற டைஜெஸ்ட்டுகளைப் பட்டியலிட்டு, சுரங்கப்பாதைப் பொதிகளை அங்கீகரிக்கும் HMAC ஐக் கட்டுப்படுத்துகிறது. user-auth-method புலம் pap அல்லது mschap2 ஐத் தேர்ந்தெடுத்து, ரவுட்டர் பயனரின் சான்றுகளை RADIUS க்கு எவ்வாறு வழங்குகிறது என்பதைத் தீர்மானிக்கிறது. டைஜெஸ்ட் மாற்றம் இரண்டாவது நடத்தையை மாற்ற முடியாது, எனவே அதே நிராகரிப்பு முதல் ஒன்றின் ஒவ்வொரு சரிசெய்தலுக்குப் பின்னும் நீடிக்கிறது.

உங்கள் வெளியீடு user-auth-method ஐ முற்றிலும் வெளிப்படுத்தவில்லை என்றால் இங்கே நிறுத்துங்கள். பழைய RouterOS கட்டுமானங்கள் அதை OpenVPN சேவையகத்தில் வழங்காமல் இருக்கலாம், மேலும் திருத்தம் புதியதிலிருந்து நகலெடுக்கப்பட்ட கட்டளைக்கு அல்ல, நீங்கள் ஆதரிக்கக்கூடிய வெளியீட்டிற்கு உரியது.

படி 2: உள்நுழைவை உண்மையில் நிராகரித்த கொள்கையைக் கண்டறியவும்

NPS பக்கத்தில், இணைப்புக் கோரிக்கை பிணையக் கொள்கைகளுக்கு எதிராக மதிப்பிடப்படுகிறது, மேலும் பொருந்தும் கொள்கையில் பெயரிடப்பட்ட அங்கீகார முறை வாடிக்கையாளர் உண்மையில் வழங்கிய ஒன்றாக இருக்க வேண்டும். சுருக்க எண்ணிக்கையைப் படிப்பதற்குப் பதிலாக ஒரு தோல்வியடைந்த உள்நுழைவை நேரம் மற்றும் பயனர் மூலம் தொடர்புபடுத்துங்கள். பாதுகாப்புப் பதிவு அனுமதிக்கப்பட்ட மற்றும் நிராகரிக்கப்பட்ட கோரிக்கைகளைக் காரணக் குறியீட்டுடன் பதிவு செய்கிறது, இது ரவுட்டரின் பொதுவான தோல்வி வரியை விட மிகவும் அதிகமாகச் சொல்கிறது.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

நிகழ்வில் மூன்று விஷயங்களைப் படியுங்கள்: பொருந்தும் கொள்கையின் பெயர், அங்கீகார முறை மற்றும் காரணக் குறியீடு. MS-CHAPv2 தேவைப்படும் கொள்கை கடவுச்சொல் சரியாக இருந்தாலும் PAP கோரிக்கையை நிராகரிக்கிறது, மேலும் டொமைன் கணக்கு தேவைப்படும் கொள்கை உள்ளூர் கணக்கை நிராகரிக்கிறது. RADIUS வாடிக்கையாளர் பதிவும் ரவுட்டரின் மூல முகவரியுடன் பொருந்த வேண்டும், இல்லையெனில் எந்தக் கொள்கையும் பார்க்கப்படுவதற்கு முன்பே கோரிக்கை நீக்கப்படும். இவற்றில் எதுவும் OpenVPN பதிவில் தெரியவில்லை.

கோரிக்கை NPS ஐ ஒருபோதும் அடையவில்லை என்றால் இங்கே நிறுத்துங்கள். அது பகிரப்பட்ட ரகசியம், வாடிக்கையாளர் முகவரி அல்லது UDP 1812 சிக்கல், மேலும் அங்கீகார முறைகளை மாற்றுவது அதைச் சரிசெய்யாது.

படி 3: இரு பக்கங்களிலும் ஒரு முறையை மாற்றவும்

அங்கீகரிக்கப்பட்ட வடிவமைப்பு MS-CHAPv2 ஆக இருந்தால், அதை ரவுட்டரில் அமைத்து பொருந்தும் கொள்கை அதை ஏற்கிறது என்பதை உறுதிப்படுத்துங்கள். ஒரு பக்கத்தை மாற்றி, மீண்டும் சோதித்து, பின்னர் மற்றதை மாற்றுங்கள்; இரண்டையும் ஒரே நேரத்தில் மாற்றுவது எது முக்கியம் என்பதைச் சொல்ல முடியாமல் செய்கிறது.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

பிழை மறையும் பொருட்டு NPS இல் ஒவ்வொரு பலவீனமான முறையையும் இயக்க வேண்டாம். பின்தளத்தில் தேர்ந்தெடுக்கப்பட்ட முறை சரிபார்க்கக்கூடிய பொருள் இருக்க வேண்டும்: MS-CHAPv2 க்கு கடவுச்சொல் அல்லது டொமைனுக்கான அணுகல் தேவை, மேலும் கொள்கை அந்தப் பொருளைக் கற்பனை செய்ய முடியாது. கொள்கையை விரிவாக்குவது அதே கணக்கிற்கு எதிராகத் தாக்குபவர் முயற்சிக்கக்கூடியதையும் விரிவாக்குகிறது. முறை, கொள்கையின் பெயர் மற்றும் மாற்றக் குறிப்பை ஒன்றாகப் பதிவு செய்யுங்கள், அடுத்த நபர் ஊகத்திற்குப் பதிலாக முடிவைப் பெறும் வகையில்.

சுரங்கப்பாதையின் சான்றிதழ் சரிபார்ப்பை முன்பு இருந்ததைப் போலவே வைத்திருங்கள். சான்று முறை சேவையக அடையாளத்திற்கு மாற்றல்ல, மேலும் சோதனை கடக்க TLS சரிபார்ப்புகளைக் குறைப்பது ஒரு சிக்கலுக்குப் பதிலாக மோசமான ஒன்றைக் கொண்டு வருகிறது.

படி 4: மூன்று உள்நுழைவுகள் மற்றும் ஒரு அனுமதியைச் சோதிக்கவும்

அனுமதிக்கப்பட்ட பயனர், தவறான கடவுச்சொல் மற்றும் விலக்கப்பட்ட பயனர் ஆகியோரைத் தலா ஒரு புதிய அமர்வில் சோதிக்கவும். முதல் ஒன்று பாதையை நிரூபிக்கிறது, இரண்டாவது சான்று சரிபார்ப்பு உண்மையானது என்பதை நிரூபிக்கிறது, மூன்றாவது கொள்கை இன்னும் விலக்க வேண்டியவர்களை விலக்குகிறது என்பதை நிரூபிக்கிறது. தேக்ககப்படுத்தப்பட்ட அமர்வு மூன்றையும் மறைக்கலாம், எனவே முயற்சிகளுக்கு இடையே இணைப்பைத் துண்டிக்கவும்.

/log print where topics~"ovpn"
/radius monitor 0

வெற்றிகரமான அங்கீகாரம் சரிபார்ப்புப் பட்டியலின் முடிவு அல்ல. வாடிக்கையாளர் பெற்ற முகவரி மற்றும் அந்த முகவரி அடையக்கூடிய வளங்களைச் சரிபார்க்கவும், ஏனெனில் பயனர் சரியாக அங்கீகரிக்கப்பட்டும் தவறான குளத்தில் விழலாம். ஒதுக்கப்பட்ட முகவரி தவறாக இருந்தால், சிக்கல் முறையில் அல்ல, சுயவிவரம் அல்லது RADIUS பதிலின் பண்புகளில் உள்ளது. டிக்கெட்டை மூடுவதற்கு முன் இரண்டையும் உறுதிப்படுத்துங்கள்.

ரவுட்டர் அமைப்பும் NPS கொள்கையும் ஒரே முறையைக் குறிப்பிடும்போது, அனுமதிக்கப்பட்ட பயனர் புதிய அமர்வுடன் இணைக்கும்போது, தவறான கடவுச்சொல் நிராகரிக்கப்படும்போது, விலக்கப்பட்ட பயனர் விலக்கப்பட்டே இருக்கும்போது, ஒதுக்கப்பட்ட முகவரி எண்ணப்பட்ட குளத்துடன் பொருந்தும்போது சரிபார்ப்புப் பட்டியல் முடிகிறது. அதை விடக் குறைவானது அடுத்த உள்நுழைவை வாய்ப்புக்கு விட்டுவிடுகிறது.