PPTP/MS-CHAPv2 dan voz kechish: eski VPN uchun qo‘llanma

Har oy almashtiriladigan va seyfda saqlanadigan yigirma belgili parollar MS-CHAPv2 bilan ishlaydigan PPTP serverini zamonaviy VPN ga aylantirmaydi. Parol kuchsizligi almashinuvning o‘zida bo‘lgan almashinuvga kirishdir. Bu qo‘llanma o‘sha serverni meros qilib olgan va unga bog‘liq saytni uzmasdan foydalanuvchilarni ko‘chirishi kerak bo‘lgan kishi uchun. Bosqichlarni tartib bilan bajaring, chunki har biri kimdir «kirish nega birdan o‘zgardi» deb so‘raganda kerak bo‘ladigan yozuv qoldiradi.

Biror narsaga tegishdan oldin stekni yozib qo‘ying

PPTP so‘ziga uch qatlam jamlanadi va har biri o‘zicha ishdan chiqadi. Tunnel — PPTP ning o‘zi, GRE qo‘shilgan TCP 1723. Autentifikatsiya — server taklif qiladigan PPP usuli, bu yerda MS-CHAPv2. Aloqa himoyasi — MPPE, uning kalitlari o‘sha autentifikatsiya almashinuvidan olinadi. Uchtasini nomlash keyingi tuzatishning noto‘g‘ri qatlamga tushishini oldini oladi.

Viki sahifasiga ishonish o‘rniga jonli konfiguratsiyani o‘qing va fayl, tinglovchi hamda autentifikatsiyadan o‘tgan oxirgi sessiyalarni yozib oling.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows ning masofaviy kirish rolida o‘sha inventar ikki buyruqdan keladi, ikkinchisi muhim, chunki rol bir vaqtda bir necha usulni e’lon qilishi mumkin, ammo daladagi mijozlar doim faqat eng kuchsizini kelishib oladi.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Bugun tunnel aslida nima tashirayotganini aniqlang

O‘rinbosarni tanlashdan oldin foydalanuvchilarni sanab chiqing: sayr qiluvchi noutbuklar, filial marshrutizatori, to‘lov terminali, dala planshetlari to‘plami. Faqat bitta ichki xostga yetishi kerak bo‘lgan foydalanuvchini ko‘chirish oson. Qayta yozib bo‘lmaydigan apparat qurilmasiga singib ketgan foydalanuvchiga mijozni yangilash o‘rniga oraliq shlyuz kerak bo‘lishi mumkin, va bu qaror o‘tishning o‘rtasida emas, rejada bo‘lishi kerak.

So‘ngra kirish almashinuvini kuzatishi yoki unga ta’sir qilishi mumkin bo‘lgan hujumchi nima olishini so‘rang. MS-CHAPv2 bilan javob foydalanuvchi parolini tarmoqsiz tiklash imkonini beradigan materialni o‘z ichiga oladi, shuning uchun uzunlik va aylanish dizaynni tuzatmaydi: tiklangan sir foydalanuvchi uni qayta ishlatgan har bir tizimda amal qiladi.

MPPE ham o‘sha kuchsizlikni meros oladi, chunki uning kalitlari o‘sha almashinuvdan keladi, va u sizga zamonaviy AEAD shifrining paket bo‘yicha yaxlitligi va takrorlanish xatti-harakatini bermaydi. Toza autentifikatsiyadan o‘tgan sessiya faqat sozlangan tekshiruvlar bilan moslikni isbotlagan, bundan ortiq emas.

Na qisqa tushlik tanaffusi, na kam foydalanuvchilar soni kriptografik xususiyatni siyosiy xususiyatga aylantirmaydi.

Migratsiyani bitta texnik xizmat oynasida bajaring

O‘rinbosarni ishga tushiring, bitta sinov guruhi bilan isbotlang, so‘ng eski tinglovchini jimgina zaxira sifatida qoldirish o‘rniga to‘xtating. Hamma hali yeta oladigan zaxira migratsiya emas va kuchsiz almashinuvni aynan hech qachon o‘tishga erinmaydigan foydalanuvchilar uchun ochiq tutadi.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Xuddi shu oynada tarmoq devorining yo‘lini yoping. GRE da esda qoladigan port yo‘q, shuning uchun 47 protokoliga raqam bilan ruxsat beruvchi qoida oson ko‘zdan qochadi va demon ketgandan keyin ham xizmatni yetib borish mumkin qilib qoldiradi. Olib tashlagan qoidangizni, uning oldingi joyini va sababini yozib qo‘ying, keyingi o‘zgarishlar ko‘rigi uni bexosdan tiklamasin.

Hisob ma’lumotlarini konfiguratsiyadan alohida boshqaring. Mijoz profilini o‘chirish — bekor qilish emas, va boshqa joyda hali autentifikatsiyadan o‘tayotgan hisob xizmatdan chiqarilmagan.

O‘rinbosar PPTP bajargan ishlarni bajarishini tekshiring

Tekshiruv ro‘yxati «ulanadimi» emas. Bu autentifikatsiya, manzil taqsimoti, DNS hal qilish, marshrut tanlash, qayta ulanish xatti-harakati va tengdosh tekshiruvi o‘rinbosar ostida hali ham saqlanadimi degan savol. Har birini sinov qurilmasida, shu tartibda sinab ko‘ring va kuzatilgan natijani kutilma yoniga yozing.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Interfeysdagi manzil muzokaralar tugaganini isbotlaydi. U uzoq tomon siz kutgan marshrutni tasdiqlaganini isbotlamaydi, yuqoridagi so‘rov esa faqat shu xost uchun javob beradi, uzatilgan LAN uchun emas. Hal qiluvchining javobi hal qiluvchiga yetib borishni isbotlaydi, bo‘lingan DNS siyosati to‘g‘ri nomlarni u yerga yuborishini emas.

Qayta ulanishni eng oxirida tekshiring, chunki ko‘p o‘rinbosarlar aynan o‘sha yerda orqaga ketadi: noutbukni uyquga qo‘ying, tarmoqlarni almashtiring va tunnel eski marshrutlarni qoldirmasdan qayta o‘rnatilishini tasdiqlang.

Qaytarish, bekor qilish va siz qoldiradigan yozuv

Qaytarish xizmatni tiklaydi; u xavfsizlikni tiklamaydi, va bu farqni oyna ochilishidan oldin baland ovozda aytish kerak. Agar yangi yo‘l ishlamasa, foydalanuvchilarni hammaga PPTP ni qayta yoqish orqali emas, ikkinchi zamonaviy oxirgi nuqta yoki vaqtinchalik shlyuz orqali qaytaring. Eski protokollda bitta favqulodda yo‘l qoldirish hozir hujjatlashtirgan ta’sir doirasini kengaytiradi.

O‘tishdan keyin PPTP orqali autentifikatsiyadan o‘tgan hisoblarni bekor qiling, ularning saqlangan profillari muddati tugashiga yo‘l qo‘ying va GRE qoidasi hech kim eslab qolmaydigan ofatdan tiklash nusxasi bilan birga har bir chekka qurilmadan ketganini tasdiqlang.

Qisqa yozuv qoldiring: topgan protokollaringiz, har bir tinglovchi to‘xtagan sana, o‘rinbosar qo‘llab-quvvatlaydigan mijoz versiyalari va qarorni qayta ocha oladigan egasi. Parol gigienasi keyin ham muhim, lekin bunga loyiq protokolda gigiena sifatida, eskisini tirik saqlash dalili sifatida emas.