RouterOS OpenVPN va NPS: auth emas, user-auth-method ni sozlang

RouterOS OpenVPN kirishi bilan NPS ga yetib, baribir rad etilishi mumkin, va odatiy sabab nomlari ikkalasi ham autentifikatsiyaga o'xshaydigan ikkita sozlamadir. Biri tunnel uchun kriptografik dayjest tanlaydi; ikkinchisi foydalanuvchi hisob ma'lumotlari RADIUS ga qanday taqdim etilishini belgilaydi. Dayjestni o'zgartirish PAP so'rovini hech qachon MS-CHAPv2 ga aylantirmaydi, xizmat necha marta qayta ishga tushsa ham. Quyidagi tekshiruv ro'yxati ikkalasini ajratadi, so'ngra bitta muvaffaqiyatsiz kirishni uni baholagan NPS siyosati orqali kuzatadi.

1-qadam: biron birini o'zgartirishdan oldin ikkala sozlamani o'qing

Tunnelni tugatuvchi routerda amaldagi OpenVPN server konfiguratsiyasini chop eting, zaxira nusxadan yoki ko'chirilgan forum postidan emas. Sizni qiziqtirgan ikkita maydon odatda bitta menyuda bo'ladi va alternativalardek o'qiladi. Ular unday emas: biri ma'lumot kanaliga, ikkinchisi hisob ma'lumotlari almashinuviga tegishli.

/interface ovpn-server server print
/interface ovpn-server server export

auth maydoni sha1 va sha256 kabi dayjestlarni sanab chiqadi va tunnel paketlarini autentifikatsiya qiluvchi HMAC ni boshqaradi. user-auth-method maydoni pap yoki mschap2 ni tanlaydi va router foydalanuvchi hisob ma'lumotlarini RADIUS ga qanday taqdim etishini belgilaydi. Dayjest o'zgarishi ikkinchi xatti-harakatni o'zgartira olmaydi, shuning uchun o'sha rad etish birinchisiga qilingan har bir tuzatishdan keyin ham saqlanadi.

Agar nashringiz user-auth-method ni umuman ko'rsatmasa, shu yerda to'xtang. Eski RouterOS buildlari uni OpenVPN serverida taklif qilmasligi mumkin, va tuzatish yangiroqdan ko'chirilgan buyruqqa emas, siz qo'llab-quvvatlay oladigan nashrga tegishli.

2-qadam: kirishni haqiqatan rad etgan siyosatni toping

NPS tomonida ulanish so'rovi tarmoq siyosatlariga ko'ra baholanadi, va mos siyosatda ko'rsatilgan autentifikatsiya usuli mijoz haqiqatan taklif qilgan usullardan biri bo'lishi kerak. Xulosa sonini o'qish o'rniga bitta muvaffaqiyatsiz kirishni vaqt va foydalanuvchi bo'yicha bog'lang. Xavfsizlik jurnali ruxsat etilgan va rad etilgan so'rovlarni sabab kodi bilan yozadi, bu routerning umumiy xato satridan ancha ko'p narsani aytadi.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Hodisada uch narsani o'qing: mos siyosat nomi, autentifikatsiya usuli va sabab kodi. MS-CHAPv2 talab qiladigan siyosat parol to'g'ri bo'lsa ham PAP so'rovini rad etadi, domen hisobini talab qiladigan siyosat esa mahalliy hisobni rad etadi. RADIUS mijoz yozuvi ham routerning manba manziliga mos kelishi kerak, aks holda so'rov har qanday siyosat ko'rilishidan oldin tashlab yuboriladi. Bularning hech biri OpenVPN jurnalida ko'rinmaydi.

Agar so'rov NPS ga hech qachon yetib bormasa, shu yerda to'xtang. Bu umumiy sir, mijoz manzili yoki UDP 1812 muammosi, va autentifikatsiya usullarini o'zgartirish uni tuzatmaydi.

3-qadam: ikkala tomonda bitta usulni o'zgartiring

Agar tasdiqlangan loyiha MS-CHAPv2 bo'lsa, uni routerda sozlang va mos siyosat uni qabul qilishini tasdiqlang. Bir tomonni o'zgartiring, qayta sinang, so'ngra ikkinchisini o'zgartiring; ikkalasini birdan o'zgartirish qaysi biri muhim bo'lganini ayta olmaslikka olib keladi.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Xatoni yo'q qilish uchun NPS da har bir zaif usulni yoqmang. Orqa tizimda tanlangan usul tekshira oladigan material bo'lishi kerak: MS-CHAPv2 parol yoki domenga kirishni talab qiladi, va siyosat bu materialni o'ylab topa olmaydi. Siyosatni kengaytirish tajovuzkorning o'sha hisobga qarshi sinab ko'rishi mumkin bo'lgan narsani ham kengaytiradi. Usul, siyosat nomi va o'zgarish havolasini birga yozib qo'ying, keyingi odam taxminni emas, qarorni meros olishi uchun.

Tunnel sertifikat tekshiruvini avvalgidek qoldiring. Hisob ma'lumotlari usuli server identifikatorining o'rnini bosmaydi, va test o'tishi uchun TLS tekshiruvlarini pasaytirish bitta muammoni yomonrog'iga almashtiradi.

4-qadam: uchta kirish va bitta ruxsatni sinang

Ruxsat etilgan foydalanuvchi, noto'g'ri parol va chiqarib tashlangan foydalanuvchini sinang, har birini yangi sessiyada. Birinchisi yo'lni isbotlaydi, ikkinchisi hisob ma'lumotlari tekshiruvi haqiqiy ekanini isbotlaydi, uchinchisi siyosat hali ham chiqarib tashlanishi kerak bo'lganlarni chiqarib tashlashini isbotlaydi. Keshivlangan sessiya uchtasini ham yashirishi mumkin, shuning uchun urinishlar orasida uzib qo'ying.

/log print where topics~"ovpn"
/radius monitor 0

Muvaffaqiyatli autentifikatsiya tekshiruv ro'yxatining oxiri emas. Mijoz olgan manzilni va o'sha manzil yeta oladigan resurslarni tekshiring, chunki foydalanuvchi to'g'ri autentifikatsiyadan o'tib ham noto'g'ri hovuzga tushishi mumkin. Agar tayinlangan manzil noto'g'ri bo'lsa, muammo usulda emas, profilda yoki RADIUS javobi atributlarida. Chiptani yopishdan oldin ikkalasini tasdiqlang.

Tekshiruv ro'yxati router sozlamasi va NPS siyosati bir xil usulni nomlaganda, ruxsat etilgan foydalanuvchi yangi sessiya bilan ulanganda, noto'g'ri parol rad etilganda, chiqarib tashlangan foydalanuvchi chiqarib tashlangan holda qolganda va tayinlangan manzil mo'ljallangan hovuzga mos kelganda tugallanadi. Bundan kami qolgani keyingi kirishni tasodifga qoldiradi.