RouterOS OpenVPN và NPS: đặt user-auth-method, không phải auth

RouterOS có thể đến được NPS bằng đăng nhập OpenVPN mà vẫn bị từ chối, và nguyên nhân thường gặp là hai cài đặt có tên đều nghe như xác thực. Một cái chọn digest mật mã cho đường hầm; cái kia quyết định cách thông tin đăng nhập của người dùng được trình bày với RADIUS. Thay đổi digest sẽ không bao giờ biến một yêu cầu PAP thành MS-CHAPv2, dù dịch vụ khởi động lại bao nhiêu lần. Danh sách kiểm tra bên dưới tách hai thứ này, sau đó theo dõi một lần đăng nhập thất bại qua chính sách NPS đã phán xét nó.

Bước 1: đọc cả hai cài đặt trước khi thay đổi bất kỳ cái nào

In cấu hình máy chủ OpenVPN hiệu lực trên router kết thúc đường hầm, không phải từ bản sao lưu hay bài đăng diễn đàn đã sao chép. Hai trường bạn quan tâm thường nằm trong cùng một menu và được đọc như thể là các lựa chọn thay thế. Chúng không phải: một cái nói về kênh dữ liệu, cái kia về việc trao đổi thông tin đăng nhập.

/interface ovpn-server server print
/interface ovpn-server server export

Trường auth liệt kê các digest như sha1 và sha256 và điều khiển HMAC xác thực các gói của đường hầm. Trường user-auth-method chọn pap hoặc mschap2 và quyết định cách router trình bày thông tin đăng nhập của người dùng với RADIUS. Thay đổi digest không thể thay đổi hành vi thứ hai, đó là lý do vì sao cùng một sự từ chối vẫn tồn tại sau mọi điều chỉnh ở cái thứ nhất.

Dừng ở đây nếu bản phát hành của bạn không hề cung cấp user-auth-method. Các bản dựng RouterOS cũ hơn có thể không cung cấp nó trên máy chủ OpenVPN, và bản sửa thuộc về một bản phát hành bạn có thể hỗ trợ, không phải một lệnh sao chép từ bản mới hơn.

Bước 2: tìm chính sách thực sự đã từ chối đăng nhập

Về phía NPS, một yêu cầu kết nối được đánh giá theo các chính sách mạng, và phương thức xác thực được nêu trong chính sách khớp phải là một phương thức mà máy khách thực sự đã cung cấp. Hãy tương quan một lần đăng nhập thất bại theo thời gian và người dùng thay vì đọc một con số tổng hợp. Nhật ký bảo mật ghi lại các yêu cầu được cấp và bị từ chối kèm mã lý do, điều đó cho bạn biết nhiều hơn dòng lỗi chung chung của router.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Đọc ba điều trong sự kiện: tên chính sách khớp, phương thức xác thực và mã lý do. Một chính sách yêu cầu MS-CHAPv2 từ chối yêu cầu PAP ngay cả khi mật khẩu đúng, và một chính sách yêu cầu tài khoản miền từ chối tài khoản cục bộ. Mục máy khách RADIUS cũng phải khớp với địa chỉ nguồn của router, nếu không yêu cầu bị loại bỏ trước khi bất kỳ chính sách nào được xem xét. Không điều nào trong số đó xuất hiện trong nhật ký OpenVPN.

Dừng ở đây nếu yêu cầu không bao giờ đến được NPS. Đó là vấn đề về bí mật chia sẻ, địa chỉ máy khách hoặc UDP 1812, và việc thay đổi phương thức xác thực sẽ không sửa được.

Bước 3: thay đổi một phương thức, ở cả hai phía

Nếu thiết kế đã được phê duyệt là MS-CHAPv2, hãy đặt nó trên router và xác nhận chính sách khớp chấp nhận nó. Thay đổi một phía, kiểm tra lại, rồi thay đổi phía kia; thay đổi cả hai cùng lúc khiến bạn không thể nói cái nào mới quan trọng.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Đừng bật mọi phương thức yếu hơn trên NPS để lỗi biến mất. Phần phụ trợ phải có tài liệu mà phương thức đã chọn có thể kiểm chứng: MS-CHAPv2 cần quyền truy cập mật khẩu hoặc miền, và một chính sách không thể bịa ra tài liệu đó. Mở rộng chính sách cũng mở rộng những gì kẻ tấn công có thể thử với cùng tài khoản. Ghi lại phương thức, tên chính sách và tham chiếu thay đổi cùng nhau, để người tiếp theo thừa hưởng một quyết định chứ không phải một phỏng đoán.

Giữ nguyên việc xác thực chứng chỉ của đường hầm đúng như trước. Phương thức thông tin đăng nhập không thay thế danh tính máy chủ, và hạ thấp các kiểm tra TLS để một bài kiểm tra đỗ sẽ đổi một vấn đề lấy một vấn đề tệ hơn.

Bước 4: kiểm tra ba lần đăng nhập và một quyền

Kiểm tra một người dùng được phép, một mật khẩu sai và một người dùng bị loại trừ, mỗi trường hợp trong một phiên mới. Trường hợp đầu chứng minh đường đi, trường hợp thứ hai chứng minh việc kiểm tra thông tin đăng nhập là thật, và trường hợp thứ ba chứng minh chính sách vẫn loại trừ những người cần bị loại trừ. Một phiên được lưu trong bộ nhớ đệm có thể che giấu cả ba, nên hãy ngắt kết nối giữa các lần thử.

/log print where topics~"ovpn"
/radius monitor 0

Xác thực thành công không phải là điểm kết thúc của danh sách kiểm tra. Kiểm tra địa chỉ mà máy khách nhận được và các tài nguyên mà địa chỉ đó có thể chạm tới, vì một người dùng có thể xác thực đúng mà vẫn rơi vào nhóm sai. Nếu địa chỉ được gán sai, vấn đề nằm ở hồ sơ hoặc các thuộc tính phản hồi RADIUS, không phải ở phương thức. Xác nhận cả hai trước khi đóng phiếu.

Danh sách kiểm tra hoàn tất khi cài đặt router và chính sách NPS nêu cùng một phương thức, một người dùng được phép kết nối với phiên mới, một mật khẩu sai bị từ chối, một người dùng bị loại trừ vẫn bị loại trừ, và địa chỉ được gán khớp với nhóm dự định. Bất cứ điều gì ít hơn đều để lần đăng nhập tiếp theo cho may rủi.