PPTP/MS-CHAPv2 నిలిపివేత: పాత VPN కోసం రన్‌బుక్

ప్రతి నెలా మార్చి తిజోరిలో ఉంచే ఇరవై అక్షరాల పాస్‌వర్డ్‌లు MS-CHAPv2 నడిపే PPTP సర్వర్‌ను ఆధునిక VPN గా మార్చవు. పాస్‌వర్డ్ అనేది బలహీనత మార్పిడిలోనే ఉన్న ఒక మార్పిడికి ఇన్‌పుట్. ఈ రన్‌బుక్ ఆ సర్వర్‌ను వారసత్వంగా పొంది, దానిపై ఆధారపడిన సైట్‌ను కోయకుండా వినియోగదారులను అక్కడి నుండి తరలించాల్సిన వారికి. దశలను క్రమంగా చేయండి, ఎందుకంటే ప్రతి ఒక్కటి ఒక రికార్డును వదిలిస్తుంది, యాక్సెస్ అకస్మాత్తుగా ఎందుకు మారిందని ఎవరైనా అడిగినప్పుడు అది అవసరం అవుతుంది.

ఏదైనా తాకే ముందు స్టాక్ రాయండి

PPTP అనే పదంలో మూడు పొరలు కలిసిపోతాయి, ప్రతి ఒక్కటి దాని విధంగా విఫలమవుతుంది. టన్నెల్ PPTP స్వయంగా, GRE తో TCP 1723. ప్రామాణీకరణ సర్వర్ అందించే PPP పద్ధతి, ఇక్కడ MS-CHAPv2. లింక్ రక్షణ MPPE, దాని కీలు ఆ ప్రామాణీకరణ మార్పిడి నుండి ఉత్పన్నమవుతాయి. మూడింటినీ పేర్కొనడం తర్వాతి సవరణ తప్పు పొరపై పడకుండా నిరోధిస్తుంది.

వికీ పేజీని నమ్మడం బదులు సజీవ కాన్ఫిగరేషన్ చదవండి, మరియు ఫైల్, శ్రోత మరియు ధృవీకరించబడిన చివరి సెషన్‌లను నమోదు చేయండి.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows దూర ప్రాప్యత పాత్రలో అదే ఇన్వెంటరీ రెండు ఆదేశాల నుండి వస్తుంది, రెండవది ముఖ్యం ఎందుకంటే పాత్ర ఒకేసారి అనేక పద్ధతులను ప్రచారం చేయగలదు, కానీ క్షేత్రంలోని క్లయింట్లు ఎప్పుడూ బలహీనమైన దానిపైనే ఒప్పందం చేసుకుంటాయి.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

ఈరోజు టన్నెల్ నిజంగా ఏమి మోస్తుందో నిర్ణయించండి

ప్రత్యామ్నాయాన్ని ఎంచుకునే ముందు వినియోగదారులను జాబితా చేయండి: తిరిగే ల్యాప్‌టాప్‌లు, శాఖ రౌటర్, చెల్లింపు టెర్మినల్, క్షేత్ర టాబ్లెట్‌ల సమూహం. ఒకే అంతర్గత హోస్ట్‌ను చేరుకోవాల్సిన వినియోగదారుని తరలించడం సులభం. మళ్లీ ఫ్లాష్ చేయలేని హార్డ్‌వేర్‌లో పాతుకుపోయిన వినియోగదారుకు క్లయింట్ అప్‌గ్రేడ్ బదులు మధ్యవర్తి గేట్‌వే అవసరం కావచ్చు, ఆ నిర్ణయం మార్పిడి మధ్యలో కాదు, ప్రణాళికలో ఉండాలి.

తర్వాత లాగిన్ మార్పిడిని గమనించగల లేదా ప్రభావితం చేయగల దాడిదారుడు ఏమి పొందుతాడో అడగండి. MS-CHAPv2 తో సమాధానంలో వినియోగదారు పాస్‌వర్డ్‌ను ఆఫ్‌లైన్‌లో పునరుద్ధరించడానికి వీలు కల్పించే పదార్థం ఉంటుంది, అందుకే పొడవు మరియు భ్రమణం డిజైన్‌ను సరిచేయవు: పునరుద్ధరించిన రహస్యం వినియోగదారు దాన్ని మళ్లీ ఉపయోగించిన ప్రతి వ్యవస్థలో చెల్లుతుంది.

MPPE కూడా అదే బలహీనతను వారసత్వంగా పొందుతుంది, దాని కీలు ఆ మార్పిడి నుండి వస్తాయి కాబట్టి, మరియు అది ఆధునిక AEAD సైఫర్ యొక్క ప్యాకెట్-వారీ సమగ్రతను లేదా పునఃప్రసార ప్రవర్తనను ఇవ్వదు. పరిశుభ్రంగా ప్రామాణీకరించబడిన సెషన్ కాన్ఫిగర్ చేసిన తనిఖీలతో అనుకూలతను మాత్రమే నిరూపించింది, అంతకంటే ఎక్కువ కాదు.

చిన్న మధ్యాహ్న భోజన విరామం లేదా తక్కువ వినియోగదారుల సంఖ్య ఏదీ గూఢలిపి లక్షణాన్ని విధాన లక్షణంగా మార్చదు.

మైగ్రేషన్‌ను ఒకే నిర్వహణ విండోలో చేయండి

ప్రత్యామ్నాయాన్ని నిలబెట్టండి, ఒక పైలట్ బృందంతో నిరూపించండి, తర్వాత పాత శ్రోతను నిశ్శబ్ద బ్యాకప్‌గా వదిలేయకుండా ఆపండి. అందరూ ఇప్పటికీ చేరుకోగల బ్యాకప్ మైగ్రేషన్ కాదు, మరియు అది బలహీనమైన మార్పిడిని మారడానికి ఎప్పుడూ శ్రమించని వినియోగదారులకే తెరిచి ఉంచుతుంది.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

అదే విండోలో ఫైర్‌వాల్ మార్గాన్ని మూసివేయండి. GRE కి గుర్తుంచుకోవాల్సిన పోర్ట్ లేదు, కాబట్టి సంఖ్య ద్వారా ప్రోటోకాల్ 47 ను అనుమతించే నియమం సులభంగా దృష్టి తప్పిపోతుంది మరియు డీమన్ వెళ్లిన తర్వాత కూడా సేవను చేరుకోగలిగేలా వదిలిస్తుంది. మీరు తొలగించిన నియమం, దాని మునుపటి స్థానం మరియు కారణాన్ని నమోదు చేయండి, తర్వాతి మార్పు సమీక్ష దాన్ని ప్రమాదవశాత్తు పునరుద్ధరించకుండా.

ఆధారాలను కాన్ఫిగరేషన్ నుండి వేరుగా నిర్వహించండి. క్లయింట్ ప్రొఫైల్ తొలగించడం రద్దు కాదు, మరియు మరెక్కడో ఇంకా ప్రామాణీకరించబడే ఖాతా విరమించబడలేదు.

ప్రత్యామ్నాయం PPTP చేసిన పనులను చేస్తుందో లేదో ధృవీకరించండి

తనిఖీ జాబితా “కనెక్ట్ అవుతుందా” కాదు. ప్రామాణీకరణ, చిరునామా కేటాయింపు, DNS పరిష్కారం, మార్గ ఎంపిక, పునఃకనెక్షన్ ప్రవర్తన మరియు సహచర ధృవీకరణ అన్నీ ప్రత్యామ్నాయం కింద నిలుస్తున్నాయా అనేది. ప్రతి ఒక్కటి పైలట్ పరికరంలో, అదే క్రమంలో పరీక్షించి, గమనించిన ఫలితాన్ని ఆశకు పక్కన రాయండి.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

ఇంటర్‌ఫేస్‌పై చిరునామా ఉండటం చర్చలు పూర్తయినట్లు నిరూపిస్తుంది. మీరు ఆశించిన మార్గాన్ని దూరపు వైపు అధికారపరచిందని అది నిరూపించదు, పైన ఉన్న ప్రశ్న ఈ హోస్ట్ కోసం మాత్రమే సమాధానమిస్తుంది, ఫార్వార్డ్ చేసిన LAN కోసం కాదు. రిజాల్వర్ సమాధానం రిజాల్వర్ చేరువను నిరూపిస్తుంది, విభజిత DNS విధానం సరైన పేర్లను అక్కడికి పంపుతుందని కాదు.

పునఃకనెక్షన్‌ను చివరిగా పరీక్షించండి, ఎందుకంటే అక్కడే చాలా ప్రత్యామ్నాయాలు వెనక్కి తగ్గుతాయి: ల్యాప్‌టాప్‌ను నిద్రలోకి పంపి, నెట్‌వర్క్‌లు మార్చి, పాత మార్గాలను వదలకుండా టన్నెల్ మళ్లీ స్థాపించబడుతుందని నిర్ధారించండి.

రోల్‌బ్యాక్, రద్దు మరియు మీరు వదిలే రికార్డు

రోల్‌బ్యాక్ సేవను పునరుద్ధరిస్తుంది; భద్రతను పునరుద్ధరించదు, ఆ భేదం విండో తెరిచే ముందు గట్టిగా చెప్పాలి. కొత్త మార్గం విఫలమైతే, అందరికీ PPTP తిరిగి ఆన్ చేయడం బదులు రెండవ ఆధునిక ముగింపు బిందువు లేదా తాత్కాలిక గేట్‌వే ద్వారా వినియోగదారులను తిరిగి తీసుకురండి. పాత ప్రోటోకాల్‌పై ఒక అత్యవసర మార్గాన్ని ఉంచడం మీరు ఇప్పుడే నమోదు చేసిన ఎక్స్‌పోజర్‌ను విస్తరిస్తుంది.

మార్పిడి తర్వాత PPTP ద్వారా ప్రామాణీకరించబడిన ఖాతాలను రద్దు చేయండి, వాటి నిల్వ చేసిన ప్రొఫైల్‌లు గడువు ముగిసేలా చేయండి, మరియు ఎవరూ గుర్తుంచుకోని విపత్తు పునరుద్ధరణ కాపీతో సహా ప్రతి అంచు పరికరం నుండి GRE నియమం పోయిందని నిర్ధారించండి.

చిన్న రికార్డు వదలండి: మీరు కనుగొన్న ప్రోటోకాల్‌లు, ప్రతి శ్రోత ఆగిన తేదీ, ప్రత్యామ్నాయం మద్దతు ఇచ్చే క్లయింట్ వెర్షన్‌లు, మరియు నిర్ణయాన్ని మళ్లీ తెరవగల యజమాని. పాస్‌వర్డ్ పరిశుభ్రత తర్వాత కూడా ముఖ్యం, కానీ దానికి అర్హమైన ప్రోటోకాల్‌పై పరిశుభ్రతగా, పాతదాన్ని సజీవంగా ఉంచే వాదనగా కాదు.