Yíyọ PPTP/MS-CHAPv2 kúrò: ìwé ìtọ́sọ́nà fún VPN àtijọ́

Àwọn ọ̀rọ̀ ìpamọ́ onítẹ́ńtẹ́ẹ̀rì ogún, tí a ń pààrọ̀ lóṣooṣù tí a sì ń pa mọ́ sínú àpótí ìṣúra, kò sọ mákẹ́ẹ̀kì PPTP tó ń ṣiṣẹ́ MS-CHAPv2 di VPN òde òní. Ọ̀rọ̀ ìpamọ́ jẹ́ ohun tí a fi ń wọ inú pàṣípààrọ̀ tí àìlera rẹ̀ wà nínú pàṣípààrọ̀ náà fúnra rẹ̀. Ìwé ìtọ́sọ́nà yìí wà fún ẹni tó jogún mákẹ́ẹ̀kì yẹn tí ó sì gbọ́dọ̀ kó àwọn olùlò kúrò níbẹ̀ láìgé ojú-ìwé tó gbára lé e. Ṣe àwọn ìgbésẹ̀ náà ní tẹ̀léntẹ̀lé, nítorí ọ̀kọ̀ọ̀kan wọn fi àkọsílẹ̀ kan sílẹ̀ tí wàá nílò nígbà tí ẹnìkan bá béèrè ìdí tí àǹfààní fi yí padà lójijì.

Kọ àkójọpọ̀ náà sílẹ̀ kí o tó fi ọwọ́ kan ohunkóhun

Àwọn ìpele mẹ́ta ni a kó pọ̀ sínú ọ̀rọ̀ PPTP, ọ̀kọ̀ọ̀kan wọn sì kùnà ní ọ̀nà tirẹ̀. Òpópó náà ni PPTP fúnra rẹ̀, GRE pẹ̀lú TCP 1723. Ìjẹ́rìí ni ọ̀nà PPP tí mákẹ́ẹ̀kì náà ń pèsè, níbí MS-CHAPv2. Ààbò ìsopọ̀ ni MPPE, tí a ń yọ àwọn kọ́kọ́rọ́ rẹ̀ jáde láti inú pàṣípààrọ̀ ìjẹ́rìí yẹn. Pípè àwọn mẹ́tẹ̀ẹ̀ta lórúkọ máa ń dènà àtúnṣe tó wá lẹ́yìn kí ó má bà lórí ìpele tí kò tọ́.

Ka fíìmù ìtòlẹ́sẹẹsẹ tó ń ṣiṣẹ́ dípò gbígbẹ́kẹ̀lé ojú-ìwé wiki, kí o sì kọ fáìlì, olùgbọ́ àti àwọn ìpàdé tí a jẹ́rìí wọn gbẹ̀yìn.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Nínú ipa àǹfààní jíjìnnà ti Windows àkójọ kan náà wá láti inú àwọn àṣẹ méjì, èkejì ṣe pàtàkì nítorí ipa kan lè polongo ọ̀nà mélòó kan lẹ́ẹ̀kan náà nígbà tí àwọn oníbàárà oko ń ṣe àdéhùn pẹ̀lú èyí tó jẹ́ aláìlera jùlọ nìkan.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Pinnu ohun tí òpópó náà ń gbé ní ti gidi lónìí

Ṣe àkójọ àwọn olùlò kí o tó yan àrọ́po: kọ̀mpútà gbéhìn-ìrìn, olùdarí ẹ̀ka, ẹ̀rọ ìsanwó, àti ẹ̀wọ̀n tábìlẹ́ẹ̀tì oko. Olùlò tó kàn ní láti dé ọ̀dọ̀ olùgbàlejò inú kan ṣoṣo rọ̀rùn láti kó. Olùlò tí a gbin sínú ohun-èlò tí o kò lè tún fíláàṣì rẹ̀ lè nílò ẹnubodè àárín dípò ìgbéga oníbàárà, ìpinnu yẹn sì wà nínú ètò, kì í ṣe àárín ìyípadà.

Lẹ́yìn náà béèrè ohun tí apẹ̀yà kan tó lè wo tàbí nípa lórí pàṣípààrọ̀ ìwọlé yóò rí. Pẹ̀lú MS-CHAPv2 ìdáhùn náà ní ohun èlò tó gbà kí a tún ọ̀rọ̀ ìpamọ́ olùlò gbà padà láìsí íńtánẹ́ẹ̀tì, ìdí nìyẹn tí gígùn àti yíyí kò ṣe àtúnṣe àpẹẹrẹ náà: àṣírí tí a gbà padà wúlò lórí gbogbo ẹ̀rọ tí olùlò ti tún un lò.

MPPE jogún àìlera kan náà, nítorí àwọn kọ́kọ́rọ́ rẹ̀ wá láti inú pàṣípààrọ̀ yẹn, kò sì fún ọ ní ìpéye pẹ̀lú ọ̀kọ̀ọ̀kan pákẹ́ẹ̀tì tàbí ìhùwàsí àtúnṣeé ti ẹ̀rọ ìkọ̀kọ̀ AEAD òde òní. Ìpàdé tí a jẹ́rìí mọ́ jẹ́ kìkì pé ó bá àwọn àyẹ̀wò tí a ṣètò mu, kò ju bẹ́ẹ̀ lọ.

Bí ó ti wà, ìsinmi ọ̀sán kúkúrú tàbí iye olùlò kékeré kò yí àbùdá ìkọ̀kọ̀ padà di àbùdá ìlànà.

Ṣe ìṣíwọ́ náà nínú fèrèsé ìtọ́jú kan ṣoṣo

Gbé àrọ́po náà dúró, fi ẹ̀wọ̀n àkọ́kọ́ ṣe ìjẹ́rìí rẹ̀, lẹ́yìn náà dá olùgbọ́ àtijọ́ dúró dípò fi í sílẹ̀ gẹ́gẹ́ bí àbáyọ̀ ìdákẹ́jẹ́. Àbáyọ̀ tí gbogbo ènìyàn ṣì lè dé kì í ṣe ìṣíwọ́, ó sì ń pa pàṣípààrọ̀ aláìlera mọ́ ṣí fún àwọn olùlò tí kò ṣe ìsapá láti yí padà rárá.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Ti ẹnu-ọ̀nà ògiri iná ní fèrèsé kan náà. GRE kò ní ibudo láti rántí, nítorí náà ìlànà tó gba ìlana 47 nípa nọ́mbà máa ń bọ́ lójú, ó sì ń fi iṣẹ́ náà sílẹ̀ lọ́nà tí a lè dé pẹ̀lú ẹ̀wẹ̀, kódà lẹ́yìn tí daemon náà ti lọ. Kọ ìlànà tí o yọ kúrò, ipò rẹ̀ àtẹ̀yìnwá àti ìdí, kí àyẹ̀wò ìyípadà tó wá lẹ́yìn má bà á dá padà lójijì.

Tọ́jú àwọn ẹ̀rí lọ́tọ̀ọ̀tọ̀ sí ìtòlẹ́sẹẹsẹ. Yíyọ profáìlì oníbàárà kúrò kì í ṣe ìfagilé, àkọsílẹ̀ tó ṣì ń jẹ́rìí níbòmíràn kò sì tí ì fẹ̀yìntì.

Jẹ́rìí pé àrọ́po náà ń ṣe àwọn iṣẹ́ tí PPTP ń ṣe

Àkójọ àyẹ̀wò kì í ṣe “ṣé ó so pọ̀”. Ó jẹ́ bí ìjẹ́rìí, pípín àdírẹ́sì, yíyanjú DNS, yíyan ọ̀nà, ìhùwàsí ìsopọ̀ padà àti ìjẹ́rìí ẹlẹgbẹ́ ṣì dúró lábẹ́ àrọ́po náà. Dán ọ̀kọ̀ọ̀kan wò lórí ẹ̀rọ àkọ́kọ́, ní tẹ̀léntẹ̀lé yẹn, kí o sì kọ àbájáde tí a kíyèsí lẹ́gbẹ̀ẹ́ ìrètí.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Àdírẹ́sì lórí ojú-ìsopọ̀ fi hàn pé ìjíròrò ti parí. Kò fi hàn pé ẹ̀gbẹ́ jíjìnnà ti gba ọ̀nà tí o ń retí láàyè, ìbéèrè tó wà lókè sì ń dáhùn fún olùgbàlejò yìí nìkan, kì í ṣe fún LAN tí a fi ránṣẹ́. Ìdáhùn olùyẹ́jú fi hàn pé a lè dé ọ̀dọ̀ olùyẹ́jú, kì í ṣe pé ìlànà DNS pípín ń fi àwọn orúkọ tó tọ́ ránṣẹ́ síbẹ̀.

Dán ìsopọ̀ padà wò nígbẹ̀yìn, nítorí níbẹ̀ ni ọ̀pọ̀lọpọ̀ àrọ́po ti ń sẹ́yìn: sùn kọ̀mpútà gbéhìn-ìrìn, yí àwọn nẹ́tíwọ́kì padà, kí o sì jẹ́rìí pé òpópó náà tún gbé kalẹ̀ láìfi àwọn ọ̀nà àtijọ́ sílẹ̀.

Ìdápadà, ìfagilé àti àkọsílẹ̀ tí o fi sílẹ̀

Ìdápadà ń mú iṣẹ́ padà, kò mú ààbò padà, àti ìyàtọ̀ yẹn gbọ́dọ̀ sọ ní ohùn rara kí fèrèsé tó ṣí. Bí ọ̀nà tuntun bá kùnà, mú àwọn olùlò padà wá nípasẹ̀ ibi-ìparí òde òní kejì tàbí ẹnubodè ìgbà díẹ̀, kì í ṣe nípasẹ̀ pípà á PPTP lẹ́ẹ̀kan sí fún gbogbo ènìyàn. Pípa ọ̀nà pàjáwìrì kan mọ́ lórí ìlana àtijọ́ ń mú ìfarahàn tí o ṣẹ̀ṣẹ̀ kọ sílẹ̀ gbòòrò.

Lẹ́yìn ìyípadà náà, fagilé àwọn àkọsílẹ̀ tí a jẹ́rìí nípasẹ̀ PPTP, jẹ́ kí àwọn profáìlì tí a fipamọ́ wọn kógbá, kí o sì jẹ́rìí pé ìlànà GRE ti lọ kúrò lórí gbogbo ẹ̀rọ etí, pẹ̀lú ẹ̀dà ìmúpadà àjálù tí ẹnìkan kò rántí.

Fi àkọsílẹ̀ kúkúrú sílẹ̀: àwọn ìlana tí o rí, ọjọ́ tí olùgbọ́ kọ̀ọ̀kan dúró, àwọn ẹ̀yà oníbàárà tí àrọ́po náà ń gbà, àti ẹni tó lè tún ìpinnu náà ṣí. Ìmọ́tótó ọ̀rọ̀ ìpamọ́ ṣì ṣe pàtàkì lẹ́yìn náà, ṣùgbọ́n gẹ́gẹ́ bí ìmọ́tótó lórí ìlana tó yẹ, kì í ṣe gẹ́gẹ́ bí àríyànjiyàn láti pa ti àtijọ́ mọ́.