RouterOS OpenVPN àti NPS: ṣètò user-auth-method, kì í ṣe auth

RouterOS lè dé NPS pẹ̀lú ìwọlé OpenVPN tí wọ́n sì ṣì lè kọ̀ ọ́, ìdí tó wọ́pọ̀ sì ni ètò méjì tí orúkọ wọn méjèèjì dà bí ìjẹ́rìí. Ọ̀kan yan dígesti kryptografi fún tunnel; èkejì pinnu bí a ṣe ń gbé ẹ̀rí olùlò kalẹ̀ fún RADIUS. Yíyí dígesti kò ní í yí ìbéèrè PAP padà sí MS-CHAPv2 láé, bó ti wù kó jẹ́ iye ìgbà tí a tún bẹ̀rẹ̀ iṣẹ́ náà. Àkójọ àyẹ̀wò tó wà nísàlẹ̀ yà wọ́n sọ́tọ̀, lẹ́yìn náà ó tẹ̀lé ìwọlé kan tó kùnà la inú ìlànà NPS tó ṣe ìdájọ́ rẹ̀.

Ìgbésẹ̀ 1: kà ètò méjèèjì kí o tó yí ọ̀kankan padà

Tẹ ètò olùpín OpenVPN tó wà lórí router tó parí tunnel jáde, kì í ṣe láti inú àdàkọ àbò tàbí àkọsílẹ̀ fọ́ọ̀mù tí wọ́n dà. Àwọn pápá méjì tó ṣe pàtàkì fún ọ máa ń wà nínú mẹ́nù kan náà, wọ́n sì máa ń dà bí ẹ̀yà mìíràn. Wọn kì í ṣe bẹ́ẹ̀: ọ̀kan jẹ́ nípa ọ̀nà dátà, èkejì jẹ́ nípa pàṣípààrọ̀ ẹ̀rí.

/interface ovpn-server server print
/interface ovpn-server server export

Pápá auth ṣe àkójọ àwọn dígesti bí sha1 àti sha256, ó sì ń darí HMAC tó ń jẹ́rìí àwọn pákétì tunnel. Pápá user-auth-method yan pap tàbí mschap2, ó sì ń pinnu bí router ṣe ń gbé ẹ̀rí olùlò kalẹ̀ fún RADIUS. Ìyípadà dígesti kò lè yí ìhùwàsí èkejì padà, ìdí nìyẹn tí ìkọ̀ kan náà fi ń dúró lẹ́yìn gbogbo àtúnṣe sí èkínní.

Dúró níbí tí ìtẹ̀jáde rẹ kò bá fi user-auth-method hàn rárá. Àwọn ìkọ́lé RouterOS àtijọ́ lè má fi í lọ́wọ́ lórí olùpín OpenVPN, àtúnṣe sì jẹ́ ti ìtẹ̀jáde tí o lè ṣe àtìlẹ́yìn fún, kì í ṣe ti àṣẹ tí wọ́n dà láti inú tuntun.

Ìgbésẹ̀ 2: wá ìlànà tó kọ̀ ìwọlé náà ní tòótọ́

Ní ẹ̀gbẹ́ NPS, a ń ṣe àyẹ̀wò ìbéèrè ìsopọ̀ pẹ̀lú àwọn ìlànà nẹ́tíwọ́ọ̀kì, ọ̀nà ìjẹ́rìí tí a dárúkọ nínú ìlànà tó bá mu gbọ́dọ̀ jẹ́ ọ̀kan tí olùpín ti gbé kalẹ̀ ní tòótọ́. So ìwọlé kan tó kùnà mọ́ àkókò àti olùlò dípò kí o ka iye àkópọ̀. Àkọsílẹ̀ ààbò ń ṣe àkọsílẹ̀ àwọn ìbéèrè tí a gbà àti tí a kọ̀ pẹ̀lú kóòdù ìdí, èyí tó sọ fún ọ ju ìlà ìkùnà gbogbogbò ti router lọ.

Get-WinEvent -LogName Security -MaxEvents 200 |
  Where-Object { $_.Id -in 6272,6273 } |
  Format-List TimeCreated,Id,Message

Ka ohun mẹ́ta nínú ìṣẹ̀lẹ̀: orúkọ ìlànà tó bá mu, ọ̀nà ìjẹ́rìí àti kóòdù ìdí. Ìlànà tó béèrè MS-CHAPv2 ń kọ̀ ìbéèrè PAP pàápàá nígbà tí ọ̀rọ̀ìpamọ́ tó tọ̀nà, ìlànà tó béèrè àkọsílẹ̀ agbègbè sì ń kọ̀ ti ìbílẹ̀. Àkọsílẹ̀ alábàárà RADIUS gbọ́dọ̀ bá àdírẹ́sì orísun router mu pẹ̀lú, bí bẹ́ẹ̀ kọ́ a máa ń sọ ìbéèrè nù kí a tó wo ìlànà kankan. Kò sí ọ̀kan nínú èyí tó farahàn nínú àkọsílẹ̀ OpenVPN.

Dúró níbí tí ìbéèrè kò bá dé NPS rárá. Ìyẹn jẹ́ ìṣòro àṣírí tí a pín, àdírẹ́sì olùpín tàbí UDP 1812, yíyí àwọn ọ̀nà ìjẹ́rìí kò níí tún un ṣe.

Ìgbésẹ̀ 3: yí ọ̀nà kan padà, ní ẹ̀gbẹ́ méjèèjì

Bí àpẹẹrẹ tí a fọwọ́ sí bá jẹ́ MS-CHAPv2, ṣètò rẹ̀ lórí router kí o sì jẹ́rìí pé ìlànà tó bá mu gbà á. Yí ẹ̀gbẹ́ kan padà, tún ṣe àyẹ̀wò, lẹ́yìn náà yí èkejì padà; yíyí méjèèjì lẹ́ẹ̀kan ṣoṣo máa ń jẹ́ kí o má lè sọ èwo ló ṣe pàtàkì.

/interface ovpn-server server set user-auth-method=mschap2
/interface ovpn-server server print
/log print where topics~"radius"

Má ṣe mú gbogbo ọ̀nà aláìlera ṣiṣẹ́ lórí NPS kí àṣìṣe náà lè parẹ́. Ẹ̀yìn gbọ́dọ̀ ní ohun èlò tí ọ̀nà tí a yàn lè ṣe àyẹ̀wò: MS-CHAPv2 nílò àyè sí ọ̀rọ̀ìpamọ́ tàbí agbègbè, ìlànà kò sì lè dá ohun èlò yẹn. Fífẹ̀ ìlànà náà ń fẹ̀ ohun tí olùkọlu lè dán wò lórí àkọsílẹ̀ kan náà pẹ̀lú. Kọ ọ̀nà, orúkọ ìlànà àti ìtọ́kasí ìyípadà pa pọ̀, kí ẹni tó kàn lè jogún ìpinnu dípò àròsọ.

Fi ìjẹ́rìí ìwé-ẹ̀rí tunnel sílẹ̀ gan-an bó ṣe wà. Ọ̀nà ẹ̀rí kì í ṣe àropo ìdánimọ̀ olùpín, fífẹ̀ àwọn àyẹ̀wò TLS kù láti jẹ́ kí àyẹ̀wò kọjá ń pàṣípààrọ̀ ìṣòro kan fún èyí tó burú jù.

Ìgbésẹ̀ 4: dán ìwọlé mẹ́ta àti àṣẹ kan wò

Dán olùlò tí a gbà láàyè, ọ̀rọ̀ìpamọ́ tí kò tọ̀nà àti olùlò tí a yọ kúrò wò, ọ̀kọ̀ọ̀kan nínú ìpàdé tuntun. Èkínní ń fi ọ̀nà hàn, èkejì ń fi hàn pé àyẹ̀wò ẹ̀rí jẹ́ ojúlówó, ẹ̀kẹta sì ń fi hàn pé ìlànà ṣì ń yọ àwọn tí ó yẹ kí a yọ kúrò. Ìpàdé tí a ti fi pamọ́ lè fi àwọn mẹ́tẹ̀ẹ̀ta pamọ́, nítorí náà já ìsopọ̀ láàrin àwọn ìgbìyànjú.

/log print where topics~"ovpn"
/radius monitor 0

Àṣeyọrí ìjẹ́rìí kì í ṣe òpin àkójọ àyẹ̀wò. Ṣàyẹ̀wò àdírẹ́sì tí olùpín gbà àti àwọn ohun àmúṣọrọ̀ tí àdírẹ́sì yẹn lè dé, nítorí olùlò lè jẹ́rìí ní tòótọ́ tí ó sì ṣì lè já bọ́ sínú àkójọ tí kò tọ̀nà. Bí àdírẹ́sì tí a yàn kò bá tọ̀nà, ìṣòro wà nínú profáìlì tàbí àwọn àbùdá ìdáhùn RADIUS, kì í ṣe nínú ọ̀nà. Jẹ́rìí méjèèjì kí o tó pa tikẹ́ẹ̀tì.

Àkójọ àyẹ̀wò máa ń parí nígbà tí ètò router àti ìlànà NPS bá dárúkọ ọ̀nà kan náà, olùlò tí a gbà láàyè bá so pọ̀ pẹ̀lú ìpàdé tuntun, a kọ̀ ọ̀rọ̀ìpamọ́ tí kò tọ̀nà, olùlò tí a yọ kúrò ṣì wà ní yíyọ kúrò, àdírẹ́sì tí a yàn sì bá àkójọ tí a wéwèé mu. Ohunkóhun tó kùnà sí iyẹn fi ìwọlé tó kàn sí àròsọ.