การเลิกใช้ PPTP/MS-CHAPv2: คู่มือปฏิบัติสำหรับ VPN รุ่นเก่า

รหัสผ่านยาวยี่สิบอักขระที่หมุนเวียนทุกเดือนและเก็บไว้ในตู้เซฟไม่ได้เปลี่ยนเซิร์ฟเวอร์ PPTP ที่ใช้ MS-CHAPv2 ให้เป็น VPN สมัยใหม่ รหัสผ่านเป็นเพียงข้อมูลนำเข้าของการแลกเปลี่ยนที่จุดอ่อนอยู่ในการแลกเปลี่ยนเอง คู่มือนี้สำหรับผู้ที่รับช่วงเซิร์ฟเวอร์นั้นมาและต้องย้ายผู้ใช้ออกโดยไม่ตัดขาดไซต์ที่พึ่งพาอยู่ ให้ทำตามขั้นตอนตามลำดับ เพราะแต่ละขั้นจะทิ้งบันทึกที่คุณจะต้องใช้เมื่อมีคนถามว่าเหตุใดการเข้าถึงจึงเปลี่ยนไปในทันที

จดบันทึกสแตกก่อนแตะต้องสิ่งใด

สามชั้นถูกรวมไว้ในคำว่า PPTP และแต่ละชั้นล้มเหลวในแบบของตน อุโมงค์คือ PPTP เอง คือ GRE บวก TCP 1723 การพิสูจน์ตัวตนคือวิธี PPP ที่เซิร์ฟเวอร์เสนอ ในที่นี้คือ MS-CHAPv2 การป้องกันลิงก์คือ MPPE ซึ่งคีย์ได้มาจากการแลกเปลี่ยนพิสูจน์ตัวตนนั้น การระบุชื่อทั้งสามช่วยไม่ให้การแก้ไขในภายหลังไปลงผิดชั้น

อ่านการกำหนดค่าที่ใช้งานจริงแทนการเชื่อหน้า wiki และบันทึกไฟล์ ตัวรับฟัง และเซสชันล่าสุดที่พิสูจน์ตัวตนสำเร็จ

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

ในบทบาทการเข้าถึงระยะไกลของ Windows การสำรวจเดียวกันมาจากสองคำสั่ง และคำสั่งที่สองสำคัญเพราะบทบาทอาจประกาศหลายวิธีพร้อมกัน ขณะที่ไคลเอนต์ภาคสนามเจรจาเฉพาะวิธีที่อ่อนแอที่สุดเสมอ

Get-VpnAuthProtocol
netstat -ano | findstr :1723

ตัดสินใจว่าอุโมงค์กำลังขนส่งอะไรจริงในวันนี้

ระบุผู้ใช้ก่อนเลือกสิ่งทดแทน: แล็ปท็อปที่พกพา เราเตอร์สาขา เครื่องรับชำระเงิน และแท็บเล็ตภาคสนามชุดหนึ่ง ผู้ใช้ที่ต้องการเข้าถึงโฮสต์ภายในเพียงโฮสต์เดียวย้ายได้ง่าย ผู้ใช้ที่ฝังอยู่ในฮาร์ดแวร์ที่คุณแฟลชใหม่ไม่ได้อาจต้องใช้เกตเวย์ตัวกลางแทนการอัปเกรดไคลเอนต์ และการตัดสินใจนั้นอยู่ในแผน ไม่ใช่กลางการเปลี่ยนผ่าน

จากนั้นถามว่า ผู้โจมตีที่สังเกตหรือมีอิทธิพลต่อการแลกเปลี่ยนการเข้าสู่ระบบจะได้อะไร ด้วย MS-CHAPv2 คำตอบรวมวัสดุที่ทำให้กู้รหัสผ่านของผู้ใช้ได้แบบออฟไลน์ และนั่นคือเหตุผลที่ความยาวและการหมุนเวียนไม่ได้ซ่อมการออกแบบ: ความลับที่กู้คืนได้ใช้ได้บนทุกระบบที่ผู้ใช้ใช้ซ้ำ

MPPE สืบทอดจุดอ่อนเดียวกัน เพราะคีย์มาจากการแลกเปลี่ยนนั้น และไม่ได้ให้ความสมบูรณ์ต่อแพ็กเก็ตหรือพฤติกรรมการเล่นซ้ำแบบที่การเข้ารหัส AEAD สมัยใหม่มี เซสชันที่พิสูจน์ตัวตนได้สะอาดพิสูจน์เพียงความเข้ากันได้กับการตรวจสอบที่กำหนดไว้เท่านั้น

ทั้งพักกลางวันสั้น ๆ และจำนวนผู้ใช้น้อยไม่สามารถเปลี่ยนคุณสมบัติทางการเข้ารหัสให้เป็นคุณสมบัติเชิงนโยบายได้

ทำการย้ายภายในหน้าต่างบำรุงรักษาเดียว

ยกสิ่งทดแทนขึ้นมา พิสูจน์ด้วยกลุ่มนำร่องหนึ่งกลุ่ม แล้วหยุดตัวรับฟังเก่าแทนที่จะปล่อยไว้เป็นทางถอยเงียบ ๆ ทางถอยที่ทุกคนยังเข้าถึงได้ไม่ใช่การย้าย และมันทำให้การแลกเปลี่ยนที่อ่อนแอยังเปิดอยู่พอดีสำหรับผู้ใช้ที่ไม่เคยสนใจจะย้าย

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

ปิดเส้นทางไฟร์วอลล์ในหน้าต่างเดียวกัน GRE ไม่มีพอร์ตให้จดจำ กฎที่อนุญาตโปรโตคอล 47 ตามหมายเลขจึงถูกมองข้ามได้ง่ายและทำให้บริการยังเข้าถึงได้แม้เดมอนจะจากไปแล้ว บันทึกกฎที่ลบ ตำแหน่งเดิม และเหตุผลไว้ เพื่อให้การทบทวนการเปลี่ยนแปลงภายหลังไม่กู้คืนกลับมาโดยไม่ตั้งใจ

จัดการข้อมูลรับรองแยกจากการกำหนดค่า การลบโปรไฟล์ไคลเอนต์ไม่ใช่การเพิกถอน และบัญชีที่ยังพิสูจน์ตัวตนที่อื่นอยู่ก็ยังไม่ถูกปลดระวาง

ตรวจสอบว่าสิ่งทดแทนทำงานที่ PPTP เคยทำ

รายการตรวจสอบไม่ใช่ “เชื่อมต่อได้หรือไม่” แต่คือการพิสูจน์ตัวตน การกำหนดที่อยู่ การแก้ชื่อ DNS การเลือกเส้นทาง พฤติกรรมการเชื่อมต่อใหม่ และการตรวจสอบคู่ค้า ยังคงอยู่ภายใต้สิ่งทดแทนหรือไม่ ทดสอบแต่ละข้อบนอุปกรณ์นำร่องตามลำดับนั้น แล้วเขียนผลที่สังเกตได้ข้างความคาดหวัง

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

ที่อยู่บนอินเทอร์เฟซพิสูจน์ว่าการเจรจาเสร็จสิ้น ไม่ได้พิสูจน์ว่าปลายทางไกลอนุญาตเส้นทางที่คุณคาดหวัง และการสอบถามข้างต้นตอบเฉพาะโฮสต์นี้ ไม่ใช่ LAN ที่ส่งต่อ ที่ตอบจากตัวแก้ชื่อพิสูจน์ว่าตัวแก้ชื่อเข้าถึงได้ ไม่ได้พิสูจน์ว่านโยบาย DNS แบบแยกส่วนส่งชื่อที่ถูกต้องไปที่นั่น

ทดสอบการเชื่อมต่อใหม่เป็นข้อสุดท้าย เพราะนั่นคือที่ที่สิ่งทดแทนส่วนใหญ่ถอยหลัง: ทำให้แล็ปท็อปหลับ เปลี่ยนเครือข่าย และยืนยันว่าอุโมงค์กลับมาตั้งได้โดยไม่ทิ้งเส้นทางที่ค้างอยู่

การย้อนกลับ การเพิกถอน และบันทึกที่คุณทิ้งไว้

การย้อนกลับฟื้นบริการ แต่ไม่ฟื้นความปลอดภัย และต้องพูดความต่างนี้ให้ดังก่อนหน้าต่างจะเปิด หากเส้นทางใหม่ล้มเหลว ให้นำผู้ใช้กลับผ่านปลายทางสมัยใหม่อีกจุดหรือเกตเวย์ชั่วคราว ไม่ใช่โดยเปิด PPTP อีกครั้งให้ทุกคน การเก็บเส้นทางฉุกเฉินหนึ่งเส้นบนโปรโตคอลเก่าจะขยายการเปิดเผยที่คุณเพิ่งบันทึกไว้

หลังการเปลี่ยนผ่าน ให้เพิกถอนบัญชีที่พิสูจน์ตัวตนผ่าน PPTP ปล่อยให้โปรไฟล์ที่เก็บไว้หมดอายุ และยืนยันว่ากฎ GRE หายไปจากอุปกรณ์ขอบทุกเครื่อง รวมถึงสำเนากู้คืนภัยพิบัติที่ไม่มีใครจำได้

ทิ้งบันทึกสั้น ๆ ไว้: โปรโตคอลที่คุณพบ วันที่ตัวรับฟังแต่ละตัวหยุด เวอร์ชันไคลเอนต์ที่สิ่งทดแทนรองรับ และเจ้าของที่เปิดการตัดสินใจได้อีกครั้ง สุขอนามัยของรหัสผ่านยังสำคัญหลังจากนั้น แต่ในฐานะสุขอนามัยบนโปรโตคอลที่คู่ควร ไม่ใช่เป็นข้อโต้แย้งให้คงของเก่าไว้