RouterOS OpenVPN ve NPS: auth değil, user-auth-method ayarlayın

RouterOS'ta auth tünelin özetini seçerken user-auth-method RADIUS isteğinin nasıl denetleneceğine karar verir. İkincisini NPS ilkesiyle hizalayın.

RouterOS bir OpenVPN oturumuyla NPS'e ulaşıp yine de reddedilebilir ve bunun olağan nedeni, adları da kimlik doğrulama gibi görünen iki ayardır. Biri tünel için bir kriptografik özet seçer; diğeri kullanıcının kimlik bilgilerinin RADIUS'a nasıl sunulacağına karar verir. Özeti değiştirmek bir PAP isteğini asla MS-CHAPv2'ye çevirmez, hizmet kaç kez yeniden başlarsa başlasın. Aşağıdaki kontrol listesi ikisini ayırır, ardından tek bir başarısız oturum açmayı onu değerlendiren NPS ilkesi boyunca izler.

Adım 1: herhangi birini değiştirmeden önce iki ayarı da okuyun

Tüneli sonlandıran yönlendiricideki etkin OpenVPN sunucu yapılandırmasını yazdırın, bir yedekten veya kopyalanmış bir forum gönderisinden değil. Önemsediğiniz iki alan genellikle aynı menüdedir ve alternatif gibi okunur. Değiller: biri veri kanalıyla, diğeri kimlik bilgilerinin değişimiyle ilgilidir.

/interface ovpn-server server print
/interface ovpn-server server export

auth alanı sha1 ve sha256 gibi özetleri listeler ve tünel paketlerini doğrulayan HMAC'i denetler. user-auth-method alanı pap veya mschap2 seçer ve yönlendiricinin kullanıcının kimlik bilgilerini RADIUS'a nasıl sunduğuna karar verir. Özet değişikliği ikinci davranışı değiştiremez, bu yüzden aynı ret ilkindeki her ayarlamadan sonra da sürer.

Sürümünüz user-auth-method alanını hiç sunmuyorsa burada durun. Eski RouterOS yapıları bunu OpenVPN sunucusunda sunmayabilir ve düzeltme daha yenisinden kopyalanmış bir komuta değil, destekleyebileceğiniz bir sürüme aittir.

Adım 2: oturum açmayı gerçekten reddeden ilkeyi bulun

NPS tarafında bir bağlantı isteği ağ ilkelerine göre değerlendirilir ve eşleşen ilkede adı geçen kimlik doğrulama yöntemi istemcinin gerçekten sunduğu yöntemlerden biri olmalıdır. Özet bir sayı okumak yerine tek bir başarısız oturum açmayı zamana ve kullanıcıya göre ilişkilendirin. Güvenlik günlüğü, izin verilen ve reddedilen istekleri bir neden koduyla kaydeder; bu size yönlendiricinin genel hata satırından çok daha fazlasını söyler.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Olayda üç şey okuyun: eşleşen ilkenin adı, kimlik doğrulama yöntemi ve neden kodu. MS-CHAPv2 isteyen bir ilke, parola doğru olsa bile PAP isteğini reddeder ve etki alanı hesabı isteyen bir ilke yerel hesabı reddeder. RADIUS istemci kaydı da yönlendiricinin kaynak adresiyle eşleşmelidir, aksi halde istek herhangi bir ilkeye bakılmadan önce düşürülür. Bunların hiçbiri OpenVPN günlüğünde görünmez.

İstek NPS'e hiç ulaşmıyorsa burada durun. Bu bir ortak sır, istemci adresi veya UDP 1812 sorunudur ve kimlik doğrulama yöntemlerini değiştirmek bunu düzeltmez.

Adım 3: her iki tarafta bir yöntem değiştirin

Onaylanan tasarım MS-CHAPv2 ise yönlendiricide ayarlayın ve eşleşen ilkenin bunu kabul ettiğini doğrulayın. Bir tarafı değiştirin, yeniden test edin, sonra diğerini değiştirin; ikisini birden değiştirmek hangisinin önemli olduğunu söyleyememenize yol açar.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Hatayı yok etmek için NPS'te her daha zayıf yöntemi etkinleştirmeyin. Arka uç, seçilen yöntemin doğrulayabileceği materyale sahip olmalıdır: MS-CHAPv2 parolaya veya etki alanına erişim gerektirir ve bir ilke bu materyali uyduramaz. İlkeyi genişletmek, saldırganın aynı hesaba karşı deneyebileceğini de genişletir. Yöntemi, ilkenin adını ve değişiklik referansını birlikte kaydedin, böylece sonraki kişi bir tahmini değil bir kararı devralır.

Tünelin sertifika doğrulamasını tam olduğu gibi bırakın. Kimlik bilgisi yöntemi sunucu kimliğinin yerine geçmez ve bir testi geçirmek için TLS denetimlerini düşürmek bir sorunu daha kötüsüyle değiştirir.

Adım 4: üç oturum açma ve bir izin test edin

İzin verilen kullanıcıyı, yanlış parolayı ve hariç tutulan kullanıcıyı her birini yeni bir oturumda test edin. Birincisi yolu kanıtlar, ikincisi kimlik bilgisi denetiminin gerçek olduğunu kanıtlar, üçüncüsü ilkenin hâlâ hariç tutması gerekenleri hariç tuttuğunu kanıtlar. Önbelleğe alınmış bir oturum üçünü de gizleyebilir, bu yüzden denemeler arasında bağlantıyı kesin.

/log print where topics~"ovpn"
/radius monitor 0

Kimlik doğrulama başarısı kontrol listesinin sonu değildir. İstemcinin aldığı adresi ve bu adresin ulaşabileceği kaynakları denetleyin, çünkü bir kullanıcı doğru kimlik doğrulayıp yine de yanlış havuza düşebilir. Atanan adres yanlışsa sorun yöntemde değil, profilde veya RADIUS yanıtı özniteliklerindedir. Talebi kapatmadan önce ikisini de doğrulayın.

Kontrol listesi, yönlendirici ayarı ve NPS ilkesi aynı yöntemi adlandırdığında, izin verilen kullanıcı yeni bir oturumla bağlandığında, yanlış parola reddedildiğinde, hariç tutulan kullanıcı hariç tutulmuş kaldığında ve atanan adres amaçlanan havuzla eşleştiğinde tamamlanır. Bundan azı bir sonraki oturum açmayı şansa bırakır.

İlgili makaleler