ВВЕДЕНИЕ
Microsoft Challenge Handshake Authentication Protocol версии 2 (MS-CHAP v2) — это протокол проверки подлинности на основе пароля, который широко используется в качестве метода проверки подлинности в VPN на основе PPTP (протокол туннелирования точки — точка). Корпорация Майкрософт предупреждает, что все организации, использующие MS-CHAP версии 2 без инкапсуляции в сочетании с туннелями PPTP для VPN-подключения, работают в потенциально небезопасной конфигурации.
Рекомендации
Корпорация Майкрософт предлагает организациям, использующим MS-CHAP версии 2/PPTP, реализовать в своих сетях защищенный протокол расширенной проверки подлинности (PEAP). Это устраняет эту технологию, инкапсулируя трафик проверки подлинности MS-CHAP версии 2 в TLS.
Настройка PPTP для использования PEAP-MS-CHAP версии 2 для проверки подлинности
PEAP-MS-CHAP версии 2
PEAP с MS-CHAP версии 2 в качестве метода проверки подлинности клиента является одним из способов защиты проверки подлинности VPN. Чтобы принудительно использовать PEAP на клиентских платформах, серверы маршрутизации Windows и сервера удаленного доступа (RRAS) должны быть настроены так, чтобы разрешить только подключения, использующие проверку подлинности PEAP, и отказаться от подключений клиентов, использующих MS-CHAP версии 2 или EAP-MS-CHAP версии 2. Администраторы должны проверка соответствующие параметры метода проверки подлинности на сервере RRAS и сервере политики сети (NPS).
Администраторы также должны подтвердить следующее:
- Проверка сертификата сервера включена. (Поведение по умолчанию — ON.)
- Проверка имени сервера включена. (Поведение по умолчанию — ON.) Необходимо указать правильное имя сервера.
- Корневой сертификат, из которого был выдан сертификат сервера, правильно установлен в хранилище клиентской системы и включен. (Всегда включено).
- В Windows 7, Windows Vista и Windows XP в окне свойств PEAP должен быть включен флажок Не предлагать пользователю авторизовать новые серверы или доверенные центры сертификации проверка. По умолчанию она отключена.
Настройка сервера RRAS для метода проверки подлинности PEAP-MS-CHAP версии 2
Процедура настройки метода проверки подлинности PEAP-MS-CHAP версии 2 для сервера RRAS и отключения менее безопасных методов MS-CHAP версии 2 и EAP-MS-CHAP версии 2 кратко описана на следующих шагах.
Настройка метода проверки подлинности для RRAS
Для этого выполните указанные ниже действия.
- В окне Управление сервером RRAS откройте диалоговое окно Свойства сервера и откройте вкладку Безопасность.
- Щелкните Методы проверки подлинности.
- Убедитесь, что выбрано поле EAP проверка и не выбрано поле MS-CHAP проверка версии 2.
Настройка подключений для NPS
Настройте сервер политики сети (NPS), чтобы разрешить подключения только от клиентов, использующих метод проверки подлинности PEAP-MS-CHAP версии 2. Чтобы настроить NPS, выполните следующие действия.
Откройте пользовательский интерфейс NPS, щелкните Политики, а затем — Политики сети.
Щелкните правой кнопкой мыши пункт Подключения к серверу маршрутизации и удаленного доступа (Майкрософт) и выберите пункт Свойства.
В пользовательском интерфейсе свойств перейдите на вкладку Ограничения.
В левой области Ограничения выберите Методы проверки подлинности, а затем очистите поля проверка для методов MS-CHAP и MS-CHAP-v2.
Удалите EAP-MS-CHAP версии 2 из списка Типы EAP.
Нажмите кнопку Добавить, выберите Метод проверки подлинности PEAP и нажмите кнопку ОК.
Примечание. Действительный сертификат сервера должен быть установлен в хранилище "Личное", а действительный корневой сертификат должен быть установлен в хранилище "Доверенный корневой ЦС" сервера перед настройкой подключения NPS.
Нажмите кнопку Изменить, а затем выберите EAP-MS-CHAP версии 2 в качестве метода проверки подлинности.
Настройка клиента RRAS для метода проверки подлинности PEAP-MS-CHAP версии 2
VPN-клиенты Windows можно настроить для использования метода проверки подлинности PEAP-MS-CHAP версии 2, выбрав соответствующий метод в пользовательском интерфейсе свойств VPN-подключения и установив соответствующий корневой сертификат в клиентской системе.