Windows VPN xavfsizligini kuchaytirish: tunnel oldidan autentifikatsiyani tuzating

Windows VPN serveringiz foydalanuvchi nomi va parolni so'raydi, va o'sha bitta muloqot uchta aloqasiz vazifani yashiradi. Biri odam kimligini isbotlaydi, biri liniyani kuzatayotgan kimsaning bu isbotni qayta ishlatishini to'xtatadi, yana biri keyinchalik qaysi manzillarga kirish mumkinligini hal qiladi. Kichik o'rnatishlarning ko'pchiligi avval tunnelni kuchaytiradi va birinchi ikki vazifani standart qiymatlarida qoldiradi, bu esa noto'g'ri tartib.

Hujumchi ishlaydigan tartibda ishlang. Avval liniyadan ushlab olish mumkin bo'lgan narsa. Keyin o'sha yozuv bilan keyinroq qayta ijro etiladigan narsa. Oxirida, autentifikatsiyadan o'tgan hujumchi ichkariga kirgach yeta oladigan narsa.

Uch vazifa, bitta muloqot

Identifikatsiya — odamlar o'ylaydigan qism, va u muammoning faqat uchdan bir qismi. Identifikatsiya isboti almashinuvni yozib olib, keyinroq qayta urinadigan kuzatuvchiga bardosh berishi kerak. Avtorizatsiya esa identifikatsiya aniqlangandan keyin server qabul qiladigan alohida qaror, va Windows uni hisob ma'lumotlarini tekshiruvchi xizmatdan boshqa xizmatda saqlaydi.

Uchtasi ham bitta aqliy chelakda yashasa, odatdagi natija kuchli autentifikatsiya qilib, keyin foydalanuvchiga hamma narsaga yetishga ruxsat beradigan serverdir. Buni keyinroq tuzatish siyosatni hozir hal qilishdan qiyin, chunki o'sha vaqtga kelib xavfsizlik devori profili, manzillar hovuzi va marshrutlar eski taxminni kodlagan bo'ladi.

Har qanday sozlamaga tegishdan oldin uchtasini qaydlaringizda ajrating, keyin ularni eng zaif bo'g'indan yuqoriga tuzating.

Nega MS-CHAPv2 qayta ijro sinovidan o'tolmaydi

Agar server hali ham MS-CHAPv2 bilan PPTP qabul qilsa, tunnel parolni biron mazmunli ma'noda himoya qilmaydi. Chaqiruv va javobni ushlab olish va oflayn hujum qilish mumkin, va 2012 yilda ochiq parol sindirish xizmati oddiy parol uchun bunday qo'l berib ko'rishishdan taxminan bir kunda tiklashni ko'rsatdi. Uzunroq va murakkabroq parol xarajatni oshiradi; u hujumchiga tarmoqdan kerak bo'lgan materialni olib tashlamaydi.

Sizga kerak xususiyat — qayta ijro etib bo'lmaydigan hisob ma'lumoti. Mijoz sertifikatlari bilan EAP-TLS har bir qurilmaga o'z identifikatsiyasini beradi va aynan bitta qurilmani bekor qilishga imkon beradi.

Sertifikatlarni joriy etish haqiqiy ish: xususiy CA, mijozlar tekshiradigan bekor qilish yo'li va xodimlar almashinuviga bardosh beradigan yangilash rejasi. Bu ishga loyiha sifatida qarang, o'zingiz va ishlayotgan tunnel o'rtasidagi to'siq sifatida emas. Unga byudjetni xavfsizlik devorini almashtirishga ajratgandek ajrating. Umumiy parol faqat birinchi bekor qilishgacha arzon.

Oldindan bo'lishilgan kalit juftlikni autentifikatsiya qiladi, shaxsni emas

L2TP/IPsec oldindan bo'lishilgan kalit bilan ikki shlyuz bir xil sirni bilishini isbotlaydi. U qaysi odam ulanayotgani haqida hech narsa demaydi va o'sha qatlamda bir xodimni boshqasidan ajrata olmaydi. Uzun tasodifiy qiymatdan foydalaning, ba'zi qo'llanmalar taklif qiladigan o'n belgidan ancha yuqori, chunki qo'l berib ko'rishishni ushlagan har kim kalitga oflayn hujum qilishi mumkin.

O'sha profildagi har bir mijoz sirni bo'lishadi, shuning uchun bir odamni olib tashlash uni qolgan barchaga qayta taqsimlashni bildiradi. Mashina darajasidagi sir ustida alohida foydalanuvchi autentifikatsiyasi bosqichini saqlang va mijozlar soni o'sgan sari sertifikatlarga o'ting. Oldindan bo'lishilgan kalit MS-CHAPv2 bilan birga ikki zaif qatlam, ikkinchisi birinchisini bekor qiladi.

Avtorizatsiya Network Policy Server ichida

Windows'dagi NPS kim ulanishi mumkinligini hal qiladi, va buni autentifikatsiya allaqachon muvaffaqiyatli o'tgandan keyin qiladi. O'sha ajratish mahsulotdagi eng foydali kuchaytirish nazorati, va ko'p o'rnatishlar uni tegilmagan qoldiradi.

Haqiqiy cheklovlarni aks ettiruvchi siyosat shartlaridan foydalaning: guruh a'zoligi, qo'llab-quvvatlash xodimlar bilan ta'minlangan vaqt oynasi va salomatlik tekshiruvidan qurilma holati. Ma'lumotlar ishqalanishni oqlaydigan joyda ikkinchi omil qo'shing, va siyosat har bir ulanish urinishida baholanishini yodda tuting, bu uni hujjat emas, tirik nazoratga aylantiradi.

RADIUS hisobi sizga kim va qachon ulanganligi haqida bitta yozuv ham beradi. Bu jurnal hodisani ko'rib chiqish va taxmin o'rtasidagi farq, va u kimdir o'qisa ham, o'qimasa ham mavjud.

Muvaffaqiyatli kirish qayerga yetishi mumkinligini cheklang

VPN adapteri butun quyi tarmoqqa emas, o'z roliga kerak bo'lgan xizmatlarga ruxsat beradigan xavfsizlik devori profiliga tushishi kerak. Marshrutlash masalasi filtrlashdan alohida. To'liq tunnel mijoz qurilmasini himoya qiladi va har bir baytni sizning yuqori kanalingiz orqali o'tkazadi, bo'lingan tunnel esa mahalliy trafikni mahalliy saqlaydi va qurilmani qaysi tarmoqda bo'lsa, o'shanga ochib qo'yadi.

Ikkala tanlovning hech biri xavfsizlik standarti emas. Ikkalasini ham ular taxmin qiladigan xavfsizlik devori profili yoniga yozish kerak.

Muvaffaqiyatsizlik yo'llarini tekshiring

Nima buzilishi kerakligini sinab ko'ring: noto'g'ri parol, muddati o'tgan sertifikat, bekor qilingan qurilma, guruhdan tashqari foydalanuvchi. Har biri boshqa nuqtada muvaffaqiyatsiz bo'lishi kerak, va jurnal qaysi biri bo'lganini aytishi kerak. To'plamni avval sinov hisobida ishga tushiring, keyin haqiqiy foydalanuvchi uchun takrorlang. Sababsiz hodisalar jurnaliga tushadigan rad etish o'sha yozuv kerak bo'lishidan ancha oldin tuzatishga arziydi.

Keyin qaysi portlar e'lon qilinganini va nima uchun ekanini tasdiqlang. PPTP uchun TCP 1723 va port emas, IP protokoli sifatida GRE kerak, IKEv2 uchun UDP 500 va 4500 kerak, L2TP uchun esa UDP 1701 va IPsec kerak. Mijoz ulanishi uchun boshqaruv interfeysini ochish tuzatish emas, bu kashf etilishini kutayotgan ikkinchi hodisa.

Oxirida server nima va qancha vaqt yozishini hal qiling. Autentifikatsiya tarixi bo'lmagan oxirgi nuqta hodisadan keyingi birinchi savolga javob bera olmaydi, ya'ni urinish hech qachon ruxsat etilganmi.