Pagpapatibay ng VPN sa Windows: ayusin ang pagpapatunay bago ang tunel

Ang iyong Windows VPN server ay humihingi ng username at password, at ang nag-iisang dialog na iyon ay nagtatago ng tatlong magkakaibang tungkulin. Ang isa ay nagpapatunay kung sino ang tao, ang isa ay pumipigil sa sinumang nanonood sa linya na muling gamitin ang patunay na iyon, at ang isa ay nagpapasya kung aling mga address ang maaabot pagkatapos. Karamihan sa maliliit na deployment ay pinapatibay muna ang tunel at iniiwan ang unang dalawang tungkulin sa kanilang default na halaga, at iyon ang maling pagkakasunod-sunod.

Magtrabaho sa pagkakasunod-sunod na ginagamit ng attacker. Una ang maaaring makuha mula sa linya. Pagkatapos ang maaaring i-play muli mamaya gamit ang rekording na iyon. Sa huli, ang maaabot ng isang authenticated na attacker kapag nakapasok na.

Tatlong tungkulin, isang dialog

Ang pagkakakilanlan ay ang bahaging iniisip ng mga tao, at ito ay ikatlong bahagi lamang ng problema. Ang patunay ng pagkakakilanlan ay dapat makatagal sa isang tagamasid na nagre-record ng palitan at muling sumusubok mamaya. Ang awtorisasyon naman ay hiwalay na desisyon na ginagawa ng server pagkatapos matiyak ang pagkakakilanlan, at iniingatan ito ng Windows sa ibang serbisyo kaysa sa serbisyong nagpapatunay ng mga kredensyal.

Kapag ang tatlo ay naninirahan sa isang balde ng isip, ang karaniwang resulta ay isang server na matibay magpatunay at pagkatapos ay hinahayaang maabot ng gumagamit ang lahat. Ang ayusin iyon mamaya ay mas mahirap kaysa sa pagpapasya ng patakaran ngayon, dahil sa oras na iyon ang firewall profile, ang pool ng address at ang mga ruta ay naka-code na sa lumang palagay.

Paghiwalayin ang tatlo sa iyong mga tala bago hawakan ang anumang setting, pagkatapos ay ayusin ang mga ito mula sa pinakamahinang kawing pataas.

Bakit hindi makayanan ng MS-CHAPv2 ang isang pagsubok sa muling pag-play

Kung tinatanggap pa rin ng server ang PPTP na may MS-CHAPv2, hindi pinoprotektahan ng tunel ang password sa anumang makabuluhang diwa. Ang hamon at tugon ay maaaring makuha at atakihin offline, at noong 2012 isang pampublikong serbisyo ng pagbasag ang nagpakita ng pagbawi mula sa gayong pakikipagkamay sa loob ng halos isang araw para sa karaniwang password. Ang mas mahaba at mas kumplikadong password ay nagpapataas ng gastos; hindi nito inaalis ang materyal na kailangan ng attacker mula sa network.

Ang katangiang kailangan mo ay isang kredensyal na hindi maaaring i-play muli. Ang EAP-TLS na may mga sertipiko ng kliyente ay nagbibigay sa bawat aparato ng sarili nitong pagkakakilanlan at hinahayaan kang bawiin ang eksaktong isang aparato.

Ang pag-deploy ng mga sertipiko ay tunay na trabaho: isang pribadong CA, isang landas ng pagbawi na sinusuri ng mga kliyente, at isang plano sa pag-renew na nakakayanan ang pagpalit ng kawani. Tratuhin ang trabahong iyon bilang proyekto at hindi bilang hadlang sa pagitan mo at ng gumaganang tunel. Maglaan ng badyet para dito tulad ng gagawin mo para sa pagpapalit ng firewall. Ang ibinahaging password ay mas mura lamang hanggang sa unang pagbawi.

Ang paunang ibinahaging susi ay nagpapatunay sa pares, hindi sa tao

L2TP/IPsec na may paunang ibinahaging susi ay nagpapatunay na alam ng dalawang gateway ang parehong lihim. Wala itong sinasabi tungkol sa kung aling tao ang kumokonekta, at hindi nito kayang makilala ang isang empleyado sa iba sa antas na iyon. Gumamit ng mahabang random na halaga, lampas pa sa sampung karakter na iminumungkahi ng ilang gabay, dahil sinumang makakuha ng pakikipagkamay ay maaaring atakihin ang susi offline.

Bawat kliyente sa profile na iyon ay nagbabahagi ng lihim, kaya ang pagtanggal ng isang tao ay nangangahulugan ng muling paghahati nito sa lahat ng natitira. Panatilihin ang hiwalay na hakbang ng pagpapatunay ng gumagamit sa ibabaw ng lihim sa antas ng makina, at lumipat sa mga sertipiko habang lumalaki ang populasyon ng kliyente. Ang paunang ibinahaging susi na sinamahan ng MS-CHAPv2 ay dalawang mahinang sapin, at binabaligtad ng pangalawa ang una.

Ang awtorisasyon ay nasa Network Policy Server

Ang NPS sa Windows ang nagpapasya kung sino ang maaaring kumonekta, at ginagawa ito pagkatapos na matagumpay na ang pagpapatunay. Ang paghihiwalay na iyon ang pinakamapakabagong kontrol sa pagpapatibay sa produkto, at maraming deployment ang iniiwan itong hindi ginalaw.

Gumamit ng mga kundisyon ng patakaran na sumasalamin sa tunay na paghihigpit: pagiging miyembro ng grupo, ang takdang oras kung kailan may kawani ang suporta, at estado ng aparato mula sa isang pagsusuri ng kalusugan. Magdagdag ng pangalawang salik kung saan binibigyang-katwiran ng datos ang alitan, at tandaan na ang patakaran ay sinusuri sa bawat pagtatangkang kumonekta, na ginagawa itong buhay na kontrol at hindi dokumento.

Ang RADIUS accounting ay nagbibigay din sa iyo ng isang talaan kung sino ang kumonekta at kailan. Ang log na iyon ang pagkakaiba ng pagsusuri ng insidente at haka-haka, at umiiral ito maging may magbasa nito o wala.

Limitahan ang maaabot ng matagumpay na pag-login

Ang VPN adapter ay dapat lumapag sa isang firewall profile na nagpapahintulot sa mga serbisyong kailangan ng papel nito at hindi sa buong subnet. Ang usapin ng routing ay hiwalay sa pag-filter. Ang buong tunel ay nagpoprotekta sa aparato ng kliyente at nagtutulak ng bawat byte sa iyong uplink, samantalang ang nahating tunel ay nagpapanatili ng lokal na trapiko na lokal at inilalantad ang aparato sa anumang network kung saan ito naroon.

Wala sa dalawang pagpipilian ang default sa seguridad. Ang dalawa ay dapat isulat sa tabi ng firewall profile na inaakala nila.

I-verify ang mga landas ng pagkabigo

Subukan ang dapat masira: maling password, nag-expire na sertipiko, binawing aparato, gumagamit sa labas ng grupo. Bawat isa ay dapat mabigo sa ibang punto, at dapat sabihin ng log kung alin ito. Patakbuhin muna ang set sa isang test account, pagkatapos ay ulitin ito para sa tunay na gumagamit. Ang pagtanggi na dumarating sa event log nang walang dahilan ay sulit ayusin bago pa man mo kailanganin ang talaang iyon.

Pagkatapos ay kumpirmahin kung aling mga port ang nai-publish at bakit. Ang PPTP ay nangangailangan ng TCP 1723 at GRE bilang IP protocol sa halip na port, ang IKEv2 ay nangangailangan ng UDP 500 at 4500, at ang L2TP ay nangangailangan ng UDP 1701 kasama ng IPsec. Ang paglalantad ng management interface upang makakonekta ang isang kliyente ay hindi pagkukumpuni, ito ay pangalawang insidente na naghihintay matuklasan.

Sa huli, magpasya kung ano ang itinatala ng server at gaano katagal. Ang isang endpoint na walang kasaysayan ng pagpapatunay ay hindi makasasagot sa unang tanong pagkatapos ng insidente, lalo na kung ang pagtatangka ay kailanman pinahintulutan.