RouterOS OpenVPN మరియు NPS: auth కాదు, user-auth-method సెట్ చేయండి

RouterOS OpenVPN లాగిన్తో NPS ను చేరుకుని కూడా తిరస్కరించబడవచ్చు, మరియు సాధారణ కారణం రెండు సెట్టింగ్లు, వాటి పేర్లు రెండూ ప్రామాణీకరణలాగా వినిపిస్తాయి. ఒకటి టన్నెల్ కోసం క్రిప్టోగ్రాఫిక్ డైజెస్ట్ను ఎంచుకుంటుంది; మరొకటి వినియోగదారు ఆధారాలను RADIUS కు ఎలా అందించాలో నిర్ణయిస్తుంది. డైజెస్ట్ మార్చడం PAP అభ్యర్థనను ఎప్పటికీ MS-CHAPv2 గా మార్చదు, సేవ ఎన్నిసార్లు పునఃప్రారంభమైనా. క్రింది తనిఖీ జాబితా రెండింటిని వేరు చేసి, తర్వాత ఒక విఫలమైన లాగిన్ను దాన్ని అంచనా వేసిన NPS విధానం ద్వారా అనుసరిస్తుంది.

దశ 1: ఏదైనా మార్చకముందు రెండు సెట్టింగ్లను చదవండి

టన్నెల్ ముగించే రౌటర్పై ప్రభావవంతమైన OpenVPN సర్వర్ కాన్ఫిగరేషన్ను ముద్రించండి, బ్యాకప్ లేదా కాపీ చేసిన ఫోరమ్ పోస్ట్ నుండి కాదు. మీకు ముఖ్యమైన రెండు ఫీల్డ్లు సాధారణంగా ఒకే మెనూలో ఉంటాయి మరియు ప్రత్యామ్నాయాలలాగా చదవబడతాయి. అవి ప్రత్యామ్నాయాలు కావు: ఒకటి డేటా ఛానెల్ గురించి, మరొకటి ఆధారాల మార్పిడి గురించి.

/interface ovpn-server server print
/interface ovpn-server server export

auth ఫీల్డ్ sha1 మరియు sha256 వంటి డైజెస్ట్లను జాబితా చేసి, టన్నెల్ ప్యాకెట్లను ప్రామాణీకరించే HMAC ను నియంత్రిస్తుంది. user-auth-method ఫీల్డ్ pap లేదా mschap2 ఎంచుకుని, రౌటర్ వినియోగదారు ఆధారాలను RADIUS కు ఎలా అందిస్తుందో నిర్ణయిస్తుంది. డైజెస్ట్ మార్పు రెండవ ప్రవర్తనను మార్చలేదు, అందుకే అదే తిరస్కరణ మొదటి దానిపై ప్రతి సర్దుబాటు తర్వాత కూడా కొనసాగుతుంది.

మీ విడుదల user-auth-method ను అసలు బహిర్గతం చేయకపోతే ఇక్కడ ఆపండి. పాత RouterOS బిల్డ్లు దాన్ని OpenVPN సర్వర్లో అందించకపోవచ్చు, మరియు సరిదిద్దడం కొత్తదాని నుండి కాపీ చేసిన ఆదేశంలో కాదు, మీరు మద్దతు ఇవ్వగల విడుదలలో ఉండాలి.

దశ 2: లాగిన్ను నిజంగా తిరస్కరించిన విధానాన్ని కనుగొనండి

NPS వైపు, కనెక్షన్ అభ్యర్థన నెట్వర్క్ విధానాలకు వ్యతిరేకంగా మూల్యాంకనం చేయబడుతుంది, మరియు సరిపోలే విధానంలో పేర్కొన్న ప్రామాణీకరణ పద్ధతి క్లయింట్ నిజంగా అందించిన ఒకటి అయి ఉండాలి. సారాంశ సంఖ్యను చదవడం బదులు ఒక విఫలమైన లాగిన్ను సమయం మరియు వినియోగదారు ద్వారా పరస్పరం సంబంధించండి. భద్రతా లాగ్ అనుమతించిన మరియు తిరస్కరించిన అభ్యర్థనలను కారణ కోడ్తో నమోదు చేస్తుంది, ఇది రౌటర్ సాధారణ వైఫల్య పంక్తి కంటే చాలా ఎక్కువ చెబుతుంది.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

సంఘటనలో మూడు విషయాలు చదవండి: సరిపోలే విధానం పేరు, ప్రామాణీకరణ పద్ధతి మరియు కారణ కోడ్. MS-CHAPv2 అవసరమయ్యే విధానం పాస్వర్డ్ సరిగ్గా ఉన్నా PAP అభ్యర్థనను తిరస్కరిస్తుంది, మరియు డొమైన్ ఖాతా అవసరమయ్యే విధానం స్థానిక ఖాతాను తిరస్కరిస్తుంది. RADIUS క్లయింట్ నమోదు కూడా రౌటర్ మూల చిరునామాతో సరిపోలాలి, లేకపోతే ఏ విధానాన్ని చూసే ముందే అభ్యర్థన పడవేయబడుతుంది. వీటిలో ఏదీ OpenVPN లాగ్లో కనిపించదు.

అభ్యర్థన NPS ను ఎప్పటికీ చేరుకోకపోతే ఇక్కడ ఆపండి. అది పంచుకున్న రహస్యం, క్లయింట్ చిరునామా లేదా UDP 1812 సమస్య, మరియు ప్రామాణీకరణ పద్ధతులను మార్చడం దాన్ని సరిచేయదు.

దశ 3: రెండు వైపులా ఒక పద్ధతిని మార్చండి

ఆమోదించిన నమూనా MS-CHAPv2 అయితే, దాన్ని రౌటర్పై సెట్ చేసి సరిపోలే విధానం దాన్ని అంగీకరిస్తుందని నిర్ధారించండి. ఒక వైపు మార్చి, మళ్లీ పరీక్షించి, తర్వాత మరొకటి మార్చండి; రెండింటినీ ఒకేసారి మార్చడం ఏది ముఖ్యమో చెప్పలేకుండా చేస్తుంది.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

లోపం మాయమవ్వడానికి NPS లో ప్రతి బలహీన పద్ధతిని ప్రారంభించవద్దు. బ్యాకెండ్లో ఎంచుకున్న పద్ధతి ధృవీకరించగల పదార్థం ఉండాలి: MS-CHAPv2 కు పాస్వర్డ్ లేదా డొమైన్కు ప్రవేశం అవసరం, మరియు విధానం ఆ పదార్థాన్ని కల్పించలేదు. విధానాన్ని విస్తరించడం అదే ఖాతాపై దాడి చేసేవాడు ప్రయత్నించగలిగేదాన్ని కూడా విస్తరిస్తుంది. పద్ధతి, విధానం పేరు మరియు మార్పు సూచనను కలిసి నమోదు చేయండి, తద్వారా తదుపరి వ్యక్తి ఊహకు బదులు నిర్ణయాన్ని వారసత్వంగా పొందుతాడు.

టన్నెల్ ప్రమాణపత్ర ధృవీకరణను మునుపు ఉన్నట్లే ఉంచండి. ఆధార పద్ధతి సర్వర్ గుర్తింపుకు ప్రత్యామ్నాయం కాదు, మరియు పరీక్ష పాస్ కావడానికి TLS తనిఖీలను తగ్గించడం ఒక సమస్యకు బదులు మరింత దారుణమైన సమస్యను తెస్తుంది.

దశ 4: మూడు లాగిన్లు మరియు ఒక అనుమతిని పరీక్షించండి

అనుమతించిన వినియోగదారు, తప్పు పాస్వర్డ్ మరియు మినహాయించిన వినియోగదారును పరీక్షించండి, ప్రతి ఒక్కరిని కొత్త సెషన్లో. మొదటిది మార్గాన్ని నిరూపిస్తుంది, రెండవది ఆధార తనిఖీ నిజమని నిరూపిస్తుంది, మూడవది విధానం ఇప్పటికీ మినహాయించవలసిన వారిని మినహాయిస్తుందని నిరూపిస్తుంది. కాష్ చేసిన సెషన్ మూడింటినీ దాచగలదు, కాబట్టి ప్రయత్నాల మధ్య డిస్కనెక్ట్ చేయండి.

/log print where topics~"ovpn"
/radius monitor 0

విజయవంతమైన ప్రామాణీకరణ తనిఖీ జాబితా ముగింపు కాదు. క్లయింట్ పొందిన చిరునామా మరియు ఆ చిరునామా చేరుకోగల వనరులను తనిఖీ చేయండి, ఎందుకంటే వినియోగదారు సరిగ్గా ప్రామాణీకరణ చెంది కూడా తప్పు పూల్లో పడవచ్చు. కేటాయించిన చిరునామా తప్పు అయితే, సమస్య పద్ధతిలో కాదు, ప్రొఫైల్ లేదా RADIUS ప్రతిస్పందన లక్షణాలలో ఉంది. టికెట్ మూసివేసే ముందు రెండింటినీ నిర్ధారించండి.

రౌటర్ సెట్టింగ్ మరియు NPS విధానం ఒకే పద్ధతిని పేర్కొన్నప్పుడు, అనుమతించిన వినియోగదారు కొత్త సెషన్తో కనెక్ట్ అయినప్పుడు, తప్పు పాస్వర్డ్ తిరస్కరించబడినప్పుడు, మినహాయించిన వినియోగదారు మినహాయించబడినట్లే ఉన్నప్పుడు మరియు కేటాయించిన చిరునామా ఉద్దేశించిన పూల్తో సరిపోలినప్పుడు తనిఖీ జాబితా పూర్తవుతుంది. అంతకంటే తక్కువ ఏదైనా తదుపరి లాగిన్ను అదృష్టానికి వదిలివేస్తుంది.