ВСТУП
Microsoft Challenge Handshake Authentication Protocol version 2 (MS-CHAP v2) – це протокол автентифікації на основі пароля, який широко використовується як метод автентифікації в мережах VPN на основі PPTP (Point to Point Tunneling Protocol). Корпорація Майкрософт попереджає, що організації, які використовують MS-CHAP v2 без інкапсуляції в поєднанні з тунелями PPTP для підключення до мережі VPN, використовують потенційно небезпечну конфігурацію.
Рекомендації
Корпорація Майкрософт радить організаціям, які використовують MS-CHAP v2/PPTP, запровадити протокол захищеної розширюваної автентифікації (PEAP) у своїх мережах. Цей метод пом'якшує цей метод, інкапсулюючи трафік автентифікації MS-CHAP v2 у TLS.
Налаштування PPTP для використання PEAP-MS-CHAP v2 для автентифікації
PEAP-MS-CHAP v2
PEAP з MS-CHAP v2 як методом автентифікації клієнта є одним із способів безпечної автентифікації VPN. Щоб забезпечити використання протоколу PEAP на клієнтських платформах, сервери маршрутизації та віддаленого доступу (RRAS) слід настроїти так, щоб дозволяти лише підключення, для яких використовується автентифікація PEAP, і блокувати підключення клієнтів, які використовують MS-CHAP v2 або EAP-MS-CHAP v2. Адміністратори повинні перевірити відповідні параметри способу автентифікації на сервері RRAS і сервері мережевої політики (NPS).
Адміністратори також повинні підтвердити таке:
- Перевірку сертифіката сервера ввімкнуто. (Поведінка за замовчуванням – УВІМКНЕНО).
- Перевірку імені сервера ввімкнуто. (Поведінка за замовчуванням – УВІМКНЕНО). Необхідно вказати правильне ім'я сервера.
- Кореневий сертифікат, на основі якого видано сертифікат сервера, правильно інстальовано в сховищі клієнтської системи та ввімкнуто. (Завжди ввімкнуто).
- В ОС Windows 7, Windows Vista та Windows XP має бути встановлено прапорець "Не пропонувати користувачу авторизувати нові сервери або довірені центри сертифікації" у вікні властивостей PEAP. За замовчуванням її вимкнуто.
Налаштування сервера RRAS для методу автентифікації PEAP-MS-CHAP v2
Процедура налаштування методу автентифікації PEAP-MS-CHAP v2 для сервера RRAS і вимкнення менш безпечних методів MS-CHAP v2 та EAP-MS-CHAP v2 коротко описана в наступних кроках.
Налаштування методу автентифікації для RRAS
Ось як це зробити:
- У вікні "Керування сервером RRAS" відкрийте діалогове вікно "Властивості сервера" та перейдіть на вкладку "Безпека".
- Виберіть пункт "Методи автентифікації".
- Переконайтеся, що прапорець EAP установлено, а MS-CHAP v2 – ні.
Настроювання підключень для NPS
Налаштуйте сервер мережевої політики (NPS) таким чином, щоб дозволити підключення лише від клієнтів, які використовують автентифікацію PEAP-MS-CHAP v2. Щоб налаштувати NPS, виконайте такі дії:
Відкрийте інтерфейс користувача NPS, клацніть «Політики», а потім — «Мережеві політики».
Клацніть правою кнопкою миші пункт "Підключення до сервера маршрутизації та віддаленого доступу Microsoft" і виберіть пункт "Властивості".
В інтерфейсі властивостей перейдіть на вкладку "Обмеження".
В області обмежень ліворуч виберіть елемент "Способи автентифікації" та зніміть прапорці для методів MS-CHAP і MS-CHAP-v2.
Видаліть EAP-MS-CHAP v2 зі списку типів EAP.
Клацніть «Додати», виберіть «Спосіб автентифікації PEAP» і натисніть кнопку «OK».
Примітка Дійсний сертифікат сервера повинен бути встановлений в «Особистому» сховищі, а дійсний кореневий сертифікат повинен бути встановлений в сховищі «Довірений кореневий центр» сервера перед налаштуванням NPS-з'єднання.
Натисніть кнопку "Редагувати" та виберіть EAP-MS-CHAP v2 як метод автентифікації.
Налаштування клієнта RRAS для автентифікації PEAP-MS-CHAP v2
VPN-клієнти Windows можна налаштувати на використання методу автентифікації PEAP-MS-CHAP v2, вибравши відповідний метод в інтерфейсі властивостей підключення VPN і встановивши відповідний кореневий сертифікат у системі клієнта.