Windows VPN బలోపేతం: సొరంగానికి ముందు ప్రామాణీకరణను సరిచేయండి

మీ Windows VPN సర్వర్ వినియోగదారు పేరు మరియు పాస్‌వర్డ్ అడుగుతుంది, ఆ ఒకే సంభాషణ మూడు సంబంధం లేని విధులను దాచుతుంది. ఒకటి వ్యక్తి ఎవరు అని నిరూపిస్తుంది, ఒకటి తీగను గమనించే ఎవరైనా ఆ సాక్ష్యాన్ని మళ్లీ ఉపయోగించకుండా ఆపుతుంది, మరియు ఒకటి తర్వాత ఏ చిరునామాలకు చేరుకోవచ్చో నిర్ణయిస్తుంది. చాలా చిన్న అమరికలు మొదట సొరంగాన్ని బలోపేతం చేసి మొదటి రెండు విధులను వాటి డిఫాల్ట్ విలువలపై వదిలేస్తాయి, ఇది తప్పు క్రమం.

దాడికర్త పని చేసే క్రమంలోనే పని చేయండి. మొదట తీగ నుండి పట్టుకోగలిగినది. తర్వాత ఆ రికార్డింగ్‌తో తర్వాత మళ్లీ ప్లే చేయగలిగినది. చివరగా, ప్రామాణీకరించిన దాడికర్త లోపలికి చేరిన తర్వాత చేరుకోగలిగినది.

మూడు విధులు, ఒక సంభాషణ

గుర్తింపు అనేది ప్రజలు ఆలోచించే భాగం, అది సమస్యలో మూడవ వంతు మాత్రమే. గుర్తింపు సాక్ష్యం మార్పిడిని రికార్డ్ చేసి తర్వాత మళ్లీ ప్రయత్నించే పరిశీలకుడిని తట్టుకోవాలి. అధికారం ఇవ్వడం అనేది గుర్తింపు నిర్ణయమైన తర్వాత సర్వర్ తీసుకునే ప్రత్యేక నిర్ణయం, Windows దాన్ని ఆధారాలను ధృవీకరించే సేవకు భిన్నమైన సేవలో ఉంచుతుంది.

మూడూ ఒకే మానసిక బకెట్‌లో జీవించినప్పుడు, సాధారణ ఫలితం బలంగా ప్రామాణీకరించి తర్వాత వినియోగదారు అన్నింటినీ చేరుకోవడానికి అనుమతించే సర్వర్. దాన్ని తర్వాత సరిచేయడం ఇప్పుడు విధానాన్ని నిర్ణయించడం కంటే కష్టం, ఎందుకంటే అప్పటికి ఫైర్‌వాల్ ప్రొఫైల్, చిరునామా పూల్ మరియు మార్గాలు అన్నీ పాత ఊహను కోడ్ చేస్తాయి.

ఏ సెట్టింగ్‌ను తాకే ముందు మూడింటినీ మీ నోట్స్‌లో వేరు చేయండి, తర్వాత బలహీనమైన లింక్ నుండి పైకి సరిచేయండి.

MS-CHAPv2 రీప్లే పరీక్షను ఎందుకు తట్టుకోలేదు

సర్వర్ ఇప్పటికీ MS-CHAPv2 తో PPTP ను అంగీకరిస్తే, సొరంగం పాస్‌వర్డ్‌ను ఏ అర్థవంతమైన అర్థంలోనూ రక్షించదు. సవాలు మరియు ప్రతిస్పందనను పట్టుకుని ఆఫ్‌లైన్‌లో దాడి చేయవచ్చు, 2012 లో ఒక బహిరంగ బ్రేకింగ్ సేవ సాధారణ పాస్‌వర్డ్ కోసం అలాంటి చేతిని పట్టుకోవడం నుండి సుమారు ఒక రోజులో పునరుద్ధరణను చూపింది. పొడవైన మరియు సంక్లిష్టమైన పాస్‌వర్డ్ ఖర్చును పెంచుతుంది; దాడికర్తకు నెట్‌వర్క్ నుండి అవసరమైన పదార్థాన్ని అది తీసివేయదు.

మీకు కావలసిన లక్షణం తిరిగి ప్లే చేయలేని ఆధారం. క్లయింట్ సర్టిఫికెట్లతో EAP-TLS ప్రతి పరికరానికి దాని స్వంత గుర్తింపును ఇస్తుంది మరియు ఖచ్చితంగా ఒక పరికరాన్ని రద్దు చేయడానికి అనుమతిస్తుంది.

సర్టిఫికెట్ల అమరిక నిజమైన పని: ప్రైవేట్ CA, క్లయింట్లు తనిఖీ చేసే రద్దు మార్గం, మరియు సిబ్బంది మార్పును తట్టుకునే పునరుద్ధరణ ప్రణాళిక. ఆ పనిని ప్రాజెక్ట్‌గా పరిగణించండి, మీకు మరియు పనిచేసే సొరంగానికి మధ్య అడ్డంకిగా కాదు. ఫైర్‌వాల్ మార్పిడికి బడ్జెట్ కేటాయించినట్లే దానికి కేటాయించండి. పంచుకున్న పాస్‌వర్డ్ మొదటి రద్దు వరకు మాత్రమే చవక.

ముందుగా పంచుకున్న కీ జోడిని ప్రామాణీకరిస్తుంది, వ్యక్తిని కాదు

L2TP/IPsec ముందుగా పంచుకున్న కీతో రెండు గేట్‌వేలు ఒకే రహస్యాన్ని తెలుసుకుంటాయని నిరూపిస్తుంది. ఏ మనిషి కనెక్ట్ అవుతున్నారో ఏమీ చెప్పదు, ఆ పొరలో ఒక ఉద్యోగిని మరొకరి నుండి వేరు చేయలేదు. పొడవైన యాదృచ్ఛిక విలువను ఉపయోగించండి, కొన్ని మార్గదర్శకాలు సూచించే పది అక్షరాలను బాగా మించి, ఎందుకంటే చేతిని పట్టుకునే ఎవరైనా కీపై ఆఫ్‌లైన్‌లో దాడి చేయగలరు.

ఆ ప్రొఫైల్‌లోని ప్రతి క్లయింట్ రహస్యాన్ని పంచుకుంటుంది, కాబట్టి ఒక వ్యక్తిని తీసివేయడం అంటే మిగిలిన వారందరికీ దాన్ని తిరిగి పంపిణీ చేయడం. యంత్ర స్థాయి రహస్యం పైన ప్రత్యేక వినియోగదారు ప్రామాణీకరణ దశను ఉంచండి, క్లయింట్ సంఖ్య పెరిగే కొద్దీ సర్టిఫికెట్లకు మారండి. ముందుగా పంచుకున్న కీ MS-CHAPv2 తో కలిసి రెండు బలహీన పొరలు, రెండవది మొదటిదాన్ని నిష్ఫలం చేస్తుంది.

అధికారం Network Policy Server లో ఉంది

Windows లో NPS ఎవరు కనెక్ట్ అవ్వవచ్చో నిర్ణయిస్తుంది, అది ప్రామాణీకరణ ఇప్పటికే విజయవంతమైన తర్వాత చేస్తుంది. ఆ విభజన ఉత్పత్తిలో అత్యంత ఉపయోగకరమైన బలోపేత నియంత్రణ, చాలా అమరికలు దాన్ని తాకకుండా వదిలేస్తాయి.

నిజమైన పరిమితులను ప్రతిబింబించే విధాన షరతులను ఉపయోగించండి: సమూహ సభ్యత్వం, మద్దతు సిబ్బందితో ఉండే సమయ విండో, మరియు ఆరోగ్య తనిఖీ నుండి పరికర స్థితి. డేటా ఘర్షణను సమర్థించే చోట రెండవ కారకాన్ని జోడించండి, విధానం ప్రతి కనెక్షన్ ప్రయత్నానికి మూల్యాంకనం చేయబడుతుందని గుర్తుంచుకోండి, అది దాన్ని పత్రంగా కాకుండా సజీవ నియంత్రణగా చేస్తుంది.

RADIUS అకౌంటింగ్ ఎవరు ఎప్పుడు కనెక్ట్ అయ్యారో ఒక రికార్డును కూడా ఇస్తుంది. ఆ లాగ్ సంఘటన సమీక్షకు మరియు ఊహకు మధ్య వ్యత్యాసం, ఎవరైనా దాన్ని చదివినా చదవకపోయినా అది ఉంటుంది.

విజయవంతమైన లాగిన్ ఎక్కడికి చేరుకోగలదో పరిమితం చేయండి

VPN అడాప్టర్ మొత్తం సబ్‌నెట్‌కు బదులుగా దాని పాత్రకు అవసరమైన సేవలను అనుమతించే ఫైర్‌వాల్ ప్రొఫైల్‌లో దిగాలి. మార్గ నిర్ణయ ప్రశ్న ఫిల్టరింగ్ నుండి వేరు. పూర్తి సొరంగం క్లయింట్ పరికరాన్ని రక్షించి ప్రతి బైట్‌ను మీ పైకి లింక్ ద్వారా పంపుతుంది, విభజిత సొరంగం స్థానిక ట్రాఫిక్‌ను స్థానికంగా ఉంచి పరికరాన్ని అది ఉన్న ఏ నెట్‌వర్క్‌కైనా బహిర్గతం చేస్తుంది.

రెండు ఎంపికలలో ఏదీ భద్రతా డిఫాల్ట్ కాదు. రెండూ అవి ఊహించే ఫైర్‌వాల్ ప్రొఫైల్ పక్కన రాయాలి.

వైఫల్య మార్గాలను ధృవీకరించండి

ఏది విరగాలో పరీక్షించండి: తప్పు పాస్‌వర్డ్, గడువు ముగిసిన సర్టిఫికెట్, రద్దు చేసిన పరికరం, సమూహం వెలుపలి వినియోగదారు. ప్రతిదీ వేరే స్థానంలో విఫలం కావాలి, లాగ్ ఏది అని చెప్పాలి. సెట్‌ను మొదట పరీక్ష ఖాతాలో అమలు చేయండి, తర్వాత నిజమైన వినియోగదారు కోసం పునరావృతం చేయండి. కారణం లేకుండా సంఘటన లాగ్‌కు చేరే తిరస్కరణ ఆ రికార్డు అవసరమయ్యే చాలా ముందే సరిచేయదగినది.

తర్వాత ఏ పోర్టులు ప్రచురించబడ్డాయి మరియు ఎందుకు అని నిర్ధారించండి. PPTP కు TCP 1723 మరియు పోర్టుగా కాకుండా IP ప్రోటోకాల్‌గా GRE అవసరం, IKEv2 కు UDP 500 మరియు 4500 అవసరం, L2TP కు UDP 1701 మరియు IPsec అవసరం. క్లయింట్ కనెక్ట్ అవ్వడానికి నిర్వహణ ఇంటర్‌ఫేస్‌ను బహిర్గతం చేయడం మరమ్మతు కాదు, అది కనుగొనబడటానికి వేచి ఉన్న రెండవ సంఘటన.

చివరగా, సర్వర్ ఏమి ఎంతకాలం రికార్డ్ చేస్తుందో నిర్ణయించండి. ప్రామాణీకరణ చరిత్ర లేని ముగింపు బిందువు సంఘటన తర్వాత మొదటి ప్రశ్నకు సమాధానం చెప్పలేదు, అంటే ఆ ప్రయత్నం ఎప్పుడైనా అధికారం పొందిందా అని.