Двофакторска аутентификација ВПН корисника путем МикроТик-а и СМС-а

Здраво колеге! Данас, када је интензитет страсти око „рада на даљину“ мало спласнуо, већина админа је добила задатак даљинског приступа запослених корпоративној мрежи, време је да поделим своје дугогодишње искуство у побољшању ВПН безбедности. Овај чланак сада неће бити модеран ИПСец ИКЕв2 и кАутх. Ради се о изградњи система. двофакторска аутентификација (2ФА) ВПН корисници када МикроТик делује као ВПН сервер. Наиме, када се користе „класични“ протоколи као што је ППП.

Данас ћу вам рећи како да заштитите МикроТик ППП-ВПН чак и ако је кориснички налог „отет“. Када је ова шема представљена једном од мојих клијената, укратко ју је описао као „па, сад је као у банци!“.

Метода не користи услуге екстерног аутентификатора. Задатке интерно обавља сам рутер. Нема трошкова за клијента за повезивање. Метода ради и за ПЦ клијенте и за мобилне уређаје.

Општа шема заштите је следећа:

1. Интерна ИП адреса корисника који се успешно повезао на ВПН сервер се аутоматски ставља на сиву листу.
2. Догађај повезивања аутоматски генерише једнократни код који се шаље кориснику користећи један од доступних метода.
3. Адресе на овој листи имају ограничен приступ локалним мрежним ресурсима, са изузетком услуге „аутентикатор“ која чека да добије једнократну лозинку.
4. Након представљања кода, корисник има приступ интерним ресурсима мреже.

Прво најмањи проблем са којим смо морали да се суочимо био је чување контакт информација о кориснику да бисмо му послали 2ФА код. Пошто је немогуће креирати произвољна поља података која одговарају корисницима у Микротику, коришћено је постојеће поље „коментар“:

/ппп сецретс адд наме=Петров пассворд=4М@нгр! цоммент="89876543210"

Други Испоставило се да је проблем озбиљнији - избор путање и начина испоруке кода. Тренутно су имплементиране три шеме: а) СМС преко УСБ-модема б) е-маил ц) СМС путем е-поште доступне корпоративним клијентима црвеног ћелијског оператера.

Да, СМС шеме доносе трошкове. Али ако погледате, „безбедност је увек у новцу“ (ц).
Лично ми се не свиђа шема са е-поштом. Не зато што захтева да сервер поште буде доступан клијенту који се аутентификује – није проблем поделити саобраћај. Међутим, ако је клијент неопрезно сачувао и впн и лозинке е-поште у претраживачу, а затим изгубио свој лаптоп, нападач би преко њега добио потпуни приступ корпоративној мрежи.

Дакле, одлучено је - испоручујемо једнократни код помоћу СМС порука.

трећи Проблем је био где како генерисати псеудо-случајни код за 2ФА у МикроТик-у. Не постоји аналог функције рандом() у језику скриптирања РоутерОС, а видео сам неколико генератора псеудо-случајних бројева скрипте. Ниједан ми се из разних разлога није допао.

У ствари, у МикроТик-у ПОСТОЈИ генератор псеудо-случајних секвенци! Сакривен је од површног погледа у контексту /цертифицатес сцеп-сервер. Први пут добијање једнократне лозинке је лако и једноставно - командом /цертифицатес сцеп-сервер отп генерише. Ако извршимо једноставну операцију додељивања променљиве, добићемо вредност низа која се касније може користити у скриптама.

Други пут добијање једнократне лозинке, која је такође лака за коришћење - коришћењем екстерне услуге рандом.орг да генерише жељени тип низа псеудослучајних бројева. Ево упрошћеног цантилевер пример пријема података у променљиву:

Код
:global rnd1 [:pick ([/tool fetch url="https://www.random.org/strings/?num=1&len=7&digits=on&unique=on&format=plain&rnd=new" as-value output=user ]->"da
ta") 1 6] :put $rnd1

Захтев форматиран за конзолу (у телу скрипте ће бити потребно избегавање специјалних знакова) прима низ од шест нумеричких знакова у променљиву $рнд1. Следећа "пут" команда једноставно приказује променљиву у МикроТик конзоли.

Четврти проблем што је требало брзо да се реши – овако и где ће повезани клијент пренети свој једнократни код у другој фази аутентификације.

Мора постојати сервис на МикроТик рутеру који може прихватити код и ускладити га са одређеним клијентом. Уколико се наведени код поклапа са очекиваним, адресу клијента треба уврстити на одређену „белу“ листу, са којих је дозвољен приступ интерној мрежи компаније.

Због лошег избора сервиса, одлучено је да се кодови прихватају путем хттп користећи вебпроки уграђен у Микротик. А пошто заштитни зид може да ради са динамичким листама ИП адреса, заштитни зид је тај који тражи код, упарујући га са ИП клијентом и додаје га на „белу“ листу користећи Лаиер7 регекп. Самом рутеру је додељено условно ДНС име "гв.лоцал", на њему је креиран статички А-запис за издавање ППП клијентима:

ДНС
/ип днс статиц адд наме=гв.лоцал аддресс=172.31.1.1

Снимање саобраћаја непроверених клијената на проксију:
/ip firewall nat add chain=dstnat dst-port=80,443 in-interface=2fa protocol=tcp !src-address-list=2fa_approved action=redirect to-ports=3128


У овом случају, прокси има две функције.

1. Отворите ТЦП везе са клијентима;

2. У случају успешне ауторизације, преусмерите клијентски претраживач на страницу или слику која обавештава о успешној аутентификацији:

Конфигурација проксија
/ip proxy
set enabled=yes port=3128
/ip proxy access
add action=deny disabled=no redirect-to=gw.local./mikrotik_logo.png src-address=0.0.0.0/0

Навешћу важне елементе конфигурације:

1. интерфејс-лист "2фа" - динамичка листа клијентских интерфејса, саобраћај са којих захтева обраду у оквиру 2ФА;
2. адреса-листа "2фа_јаилед" - "сива" листа тунелских ИП адреса ВПН клијената;
3. аддресс_лист "2фа_аппровед" - бела листа тунелских ИП адреса ВПН клијената који су успешно прошли двофакторску аутентификацију.
4. ланац заштитног зида "инпут_2фа" - проверава тцп пакете на присуство ауторизационог кода и поклапа ИП адресу пошиљаоца кода са потребном. Правила у ланцу се додају и уклањају динамички.

Поједностављени дијаграм тока обраде пакета изгледа овако:

Да бисте ушли у Лаиер7 проверу саобраћаја од клијената са „сиве“ листе који још нису прошли другу фазу аутентификације, креирано је правило у стандардном „улазном“ ланцу:

Код
/ip firewall filter add chain=input !src-address-list=2fa_approved action=jump jump-target=input_2fa

Сада да почнемо да причвршћујемо све ово богатство за услугу ЈПП. МикроТик вам омогућава да користите скрипте у профилима (ппп-профиле) и доделите их догађајима постављања и прекида ппп везе. Подешавања ппп-профила могу се применити и на ППП сервер у целини и на појединачне кориснике. Истовремено, профил који је додељен кориснику има приоритет, надјачавајући параметре профила изабраног за сервер у целини са његовим наведеним параметрима.

Као резултат оваквог приступа, можемо креирати посебан профил за двофакторску аутентификацију и доделити га не свим корисницима, већ само онима за које сматрамо да је то неопходно. Ово може бити релевантно ако користите ППП услуге не само за повезивање крајњих корисника, већ у исто време и за изградњу веза од локације до локације.

У новоствореном специјалном профилу користимо динамичко додавање адресе и интерфејса повезаног корисника на „сиве“ листе адреса и интерфејса:

винбок

Код
/ppp profile add address-list=2fa_jailed change-tcp-mss=no local-address=192.0.2.254 name=2FA interface-list=2fa only-one=yes remote-address=dhcp_pool1 use-compression=no use-encryption= required use-mpls=no use-upnp=no dns-server=172.31.1.1

Неопходно је користити и листе „аддресс-лист“ и „интерфаце-лист“ листе за откривање и хватање саобраћаја од несекундарних ВПН клијената у дстнат (пре-рутинг) ланцу.

Када се припрема заврши, креирају се додатни ланци заштитног зида и профил, написаћемо скрипту одговорну за аутоматско генерисање 2ФА кода и појединачна правила заштитног зида.

Документација вики.микротик.цом на ППП-профилу нас обогаћује информацијама о варијаблама повезаним са ППП клијентским везом и догађајима прекида везе „Изврши скрипту на догађају пријаве корисника. Ово су доступне варијабле које су доступне за скрипту догађаја: корисник, локална-адреса, удаљена-адреса, ИД позиваоца, Цаллер-ид, интерфејс". Неки од њих су нам веома корисни.

Код који се користи у профилу за ППП догађај повезивања

#Логируем для отладки полученные переменные 
:log info (

quot;local-address")

:log info (

quot;remote-address")

:log info (

quot;caller-id")

:log info (

quot;called-id")

:log info ([/int pptp-server get (

quot;interface") name])

#Объявляем свои локальные переменные

:local listname "2fa_jailed"

:local viamodem false

:local modemport "usb2"

#ищем автоматически созданную запись в адрес-листе "2fa_jailed"

:local recnum1 [/ip fi address-list find address=(

quot;remote-address") list=$listname]
#получаем псевдослучайный код через random.org

#:local rnd1 [:pick ([/tool fetch url="https://www.random.org/strings/?num=1&len=7&digits=on&unique=on&format=plain&rnd=new" as-value output=user]->"data") 0 4]
#либо получаем псевдослучайный код через локальный генератор

#:local rnd1 [pick ([/cert scep-server otp generate as-value minutes-valid=1]->"password") 0 4 ]
#Ищем и обновляем коммент к записи в адрес-листе. Вносим искомый код для отладки

/ip fir address-list set $recnum1 comment=$rnd1

#получаем номер телефона куда слать SMS

:local vphone [/ppp secret get [find name=$user] comment]
#Готовим тело сообщения. Если клиент подключается к VPN прямо с телефона ему достаточно

#будет перейти прямо по ссылке из полученного сообщения

:local msgboby ("Your code: ".$comm1."n Or open link http://gw.local/otp/".$comm1."/")
# Отправляем SMS по выбранному каналу - USB-модем или email-to-sms

if $viamodem do={

/tool sms send phone-number=$vphone message=$msgboby port=$modemport }

else={

/tool e-mail send server=a.b.c.d [email protected] [email protected] subject="@".$vphone body=$msgboby }
#Генерируем Layer7 regexp

local vregexp ("otp\/".$comm1)

:local vcomment ("2fa_".(

quot;remote-address"))

/ip firewall layer7-protocol add name=(

quot;vcomment") comment=(

quot;remote-address") regexp=(

quot;vregexp")
#Генерируем правило проверяющее по Layer7 трафик клиента в поисках нужного кода

#и небольшой защитой от брутфорса кодов с помощью dst-limit

/ip firewall filter add action=add-src-to-address-list address-list=2fa_approved address-list-timeout=none-dynamic chain=input_2fa dst-port=80,443,3128 layer7-protocol=(

quot;vcomment") protocol=tcp src-address=(

quot;remote-address") dst-limit=1,1,src-address/1m40s



Упозоравам вас посебно за оне који воле да безумно копирају-пејстују - код је преузет из пробне верзије и може садржати мање грешке. Разумљивој особи неће бити тешко да схвати где тачно.
Када корисник прекине везу, генерише се догађај „Он-Довн“ и позива се одговарајућа скрипта са параметрима. Задатак ове скрипте је да очисти правила заштитног зида креирана за искљученог корисника.
Код који се користи у профилу за ППП он-довн догађај везе
:local vcomment ("2fa_".(

quot;remote-address"))

/ip firewall address-list remove [find address=(

quot;remote-address") list=2fa_approved]
/ip firewall filter remove [find chain="input_2fa" src-address=(

quot;remote-address") ]
/ip firewall layer7-protocol remove [find name=$vcomment]


Затим можете креирати кориснике и доделити све или неке од њих двофакторском профилу за аутентификацију.
винбок


Код

/ppp secrets set [find name=Petrov] profile=2FA
Како то изгледа на страни клијента.
Када се успостави ВПН веза, Андроид/иОС телефон/таблет са СИМ картицом прима СМС овако:
СМС


Ако је веза успостављена директно са телефона/таблета, онда можете проћи кроз 2ФА једноставним кликом на везу из поруке. То је удобно.
Ако је ВПН веза успостављена са рачунара, од корисника ће се тражити да унесе минималну лозинку. Мали образац у облику ХТМЛ датотеке се даје кориснику приликом подешавања ВПН-а. Датотека се чак може послати поштом тако да је корисник сачува и направи пречицу на погодном месту. изгледа овако:
Ознака на столу


Корисник кликне на пречицу, отвара се једноставан образац за унос кода који ће налепити код у отворени УРЛ:
Форма екрана


Као пример дат је најпримитивнији облик. Они који желе могу сами да модификују.
2фа_логин_мини.хтмл
<html>
<head> <title>SMS OTP login</title> <meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /> </head>
<body>
<form name="login" action="location.href='http://gw.local/otp/'+document.getElementById(‘text').value"  method="post"
 <input id="text" type="text"/> 
<input type="button" value="Login" onclick="location.href='http://gw.local/otp/'+document.getElementById('text').value"/> 
</form>
</body>
</html>

Ако је ауторизација успешна, корисник ће видети МикроТик лого у претраживачу, што би требало да сигнализира успешну аутентификацију:

Имајте на уму да се слика враћа са уграђеног МикроТик веб сервера помоћу ВебПроки Дени Редирецт.
Верујем да се слика може прилагодити помоћу алатке „врућа тачка“, учитавањем сопствене верзије тамо и постављањем УРЛ-а за забрану преусмеравања на њу помоћу ВебПроки-а.
Велика молба онима који покушавају да купе најјефтинији „играчки” Микротик за 20 долара и замене га рутером од 500 долара - немојте то да радите. Уређаји попут "хАП Лите"/"хАП мини" (кућна приступна тачка) имају веома слаб ЦПУ (смипс) и вероватно се неће носити са оптерећењем у пословном сегменту.
Упозорење!  Ово решење има један недостатак: када се клијенти повежу или прекину везу, долази до промена конфигурације, које рутер покушава да сачува у својој непроменљивој меморији. Са великим бројем клијената и честим конекцијама и прекидима, то може довести до деградације интерне меморије у рутеру.
ПС: Методе за испоруку кода клијенту могу се проширити и допунити у мери у којој су ваше програмске могућности довољне. На пример, можете слати поруке у телеграм или ... предложити опције!
Надам се да ће вам чланак бити од користи и помоћи да мреже малих и средњих предузећа буду мало безбедније.
Извор: ввв.хабр.цом