VPN připojení z Iphonu přes L2TP k Windows serveru 2008



Ahoj, jelikož Apple odebral v iOS 10 možnost připojení k VPN přes PPTP, peru se s nastavením L2TP k Windows Serveru 2008. Klasické počítače mi standardně přes L2TP běží přes sdílený klíč. Nicméně pokud nastavím iPhone, pořád mi hlásí, že L2TP server nereaguje. Ani v Logu na serveru jsem nic nenašel ani pokus o připojení. Zkusil jsem na Firewallu povolit standardní L2TP porty (UDP 1701,500,4500), v NPS serveru a nastavení "Zásad sítě" jsem vytvořil podmínku zásady s L2TP tunelového propojení s ověřováním CHAP, MS-CHAP, MS-CHAP v2, ale nic nepomáhá.K připojení se používá sdílený klíč bez certifikátu a ověření uživatelského jména s heslem z AD. Ostatní klientské počítače s Windows se mi připojí, jen ten zpackanej iPhone ne. Nemá někdo obdobný problém? Eventuelně nějakou appku, která ještě umí PPTP? V App storu jsem našel nějaké čínské shity na veřejné VPN.Už mě ten "ohryzek" sejří.Děkuji za nápady
Dalsi admin, co musi bojovat s Apple, vitaj v klube kamo.Neni moznost downgrade na ios9?CO sa pytam, ved je to Apple, takze asi nie.
K ověření z aplikace pro iPhone, budete muset:


1. Zakázat křížový dotaz site padělání pro akce formuláře
2. HTTP POST user\_session [uživatelské jméno] a user\_session [heslo] na váš FQDN + '/' user\_sessions
3. Zachytit relace cookie vrácené z místa (a vrátit ty s následnými žádostmi), aby podnikla další kroky v žádosti.


V závislosti na tom, co váš celkový cíl je, možná by bylo lepší napsat vlastní ověření kus, který by používal iPhone interní ID a kombinace uživatelského jména a hesla vytvořit jedinečný klíč použít pro sezení na místě. <p>to záleží na tom, zda máte obavy z odsouzení, nebo vyřizování pravděpodobné příčiny (v usa).</p><p>předpokládejme, že jste doma. spustíte vpn a připojíte se k poskytovateli vpn mimo lokalitu. pokud sleduji odchozí provoz (z vašeho domu), vím, že jste se právě připojili k určité ip adrese a že ip adresa je poskytovatel vpn. všechno uvnitř užitečného zatížení paketu je šifrováno.</p><p>poté se rozhodnete, když budete doma, zkontrolovat svůj e-mail. stává se, že sleduji odchozí provoz od poskytovatele vpn (který není šifrovaný). zaznamenávám to vše pomocí odfrknutí a spustím wireshark proti výstupu. vidím spojení s vaší e-mailovou adresou a napsaný e-mail. to může být chráněno ssl, pokud je to webmail. pokud se jedná o běžný e-mail, je to pravděpodobně prostý text. pokud to není prostý text, mohu se pokusit zachytit ho v přijímači. e-mail nemá žádný právní význam (tj. nepoužíváte jej k plánování něčeho nezákonného). všiml jsem si však skutečnosti, že zaměňujete použití jejich, tam a tam jsou. všimnu si také několika idiomů, které chcete použít.</p><p>během sledování odchozího provozu vidím, že váš účet psal několik e-mailů. zaznamenávám vzory překlepů a další postavy řeči. sbírám je po dobu jednoho měsíce nebo dvou.</p><p>potom jsem vložil položky, které si všimnu, do wireshark. přidávám několik věcí, o kterých je vám známo. pokaždé, když dojde k překlepu nebo použití idiomu (který používáte) najdete v obsahu jakéhokoli paketu, který vychází z vpn služby, kterou používáte, vidím to.</p><p>za další měsíc nebo dva mám spoustu datových bodů. některé jsou weby, na které jste šli, jiné ne. první věc, kterou udělám, je odstranění všech datových bodů, které opustily poskytovatele služeb vpn, když jste nebyli online (tj. neviděl jsem vás online z domova, nezapomeňte, že jsem začal sledováním tohoto připojení).</p><p>pak se podívám na zbývající provoz a uvidím, jestli mám nějaké body clusteru. spousta opakujících se témat. stejný předmět přes over. porovnávám to s vaším nešifrovaným provozem a vaším e-mailem.</p><p>neaplikoval jsem dostatek filtrů, abych tě izoloval od hluku (lidé, kteří používají stejné idiomy/pravopisné chyby jako ty), ale měl bych dobrý důvod pro pravděpodobnou příčinu. pokud mám dostatek referenčních bodů, je to jako otisk prstu.</p><p>v podstatě aplikuji bayesovskou analýzu na korpus práce, abych uvedl něco o pravděpodobnosti, že věřím, že příkladem bude člen souboru vytvořeného mým podezřelým. sbírka děl, která bych srovnávala, pochází z jakékoli práce, za kterou podezřelý veřejně uznal, že za ni odpovídá. tato analýza je dobře známa (a existuje i celá statistika stackexchange webu).</p><p>nechám tě odpovědět, s čím bych v tuto chvíli přišel?</p> <p>pokud server používá tcp/ip, pak je jednoduchým způsobem telnet k portu serveru sql a uvidíte, zda se připojuje. ve výchozím nastavení je port 1433, takže by to mělo fungovat:</p><pre><code>telnet servername 1433 </code></pre><p>ve většině případů to bude pravděpodobně vhodné.</p><p>pokud používá jiný port nebo dynamické porty (společné s pojmenovanou instancí), musíte určit, na kterém portu je právě naslouchán. zkontrolujte správce konfigurace serveru sql a zkontrolujte, zda se jedná o konkrétní port nebo dynamické porty. pokud používáte dynamické porty, pak pokud nemáte na serveru více instancí, <code>netstat -abn</code> je pravděpodobně nejjednodušší způsob, jak najít to, co používá. v opačném případě kopejte protokolem událostí systému windows nebo protokolem chyb serveru sql pro zprávu označující port, který instance používá.</p><p>pokud sql server používá named pipes, pak i <em> věřím </em>, pokud máte přístup k sdíleným položkám na počítači, máte dostatečné síťové připojení. tento článek uvádí, že můžete jít dále a zkusit se připojit ke sdílené složce ipc $:</p><p> <a href="http://msdn.microsoft.com/en-us/library/aa275787%28v=sql.80%29.aspx">http://msdn.microsoft.com/en-us/library/aa275787%28v=sql.80%29.aspx</a> </p><pre><code>net use \\servername\ipc$ </code></pre><p>to je napsáno pro sql server 2000, ale já si nemyslím, že se tento aspekt hodně změnil, pokud vůbec.</p> <p>pro zpracování příspěvku ewanm89 používá teamviewer dírku udp.</p><p>udp je protokol bez státní příslušnosti. to znamená, že pakety jsou vystřeleny na svém cíli bez ověření (na úrovni protokolu), zda byly přijaty nebo dokonce dosáhly cíle. firewally jsou navrženy tak, aby hledaly udp pakety a zaznamenávaly zdroj a cíl, jakož i časové razítko. pokud uvidí příchozí paket, který odpovídá odchozímu paketu, pak paket obvykle povolí, a to i bez zadání specifického pravidla v přístupovém seznamu brány firewall. to lze uzamknout na zařízeních podnikové třídy, ale obecně 90% firewallů tam umožní návratový provoz.</p><p>aby bylo možné připnout díru, má váš stroj (prohlížeč) připojení tcp) zpět k hlavnímu serveru teamviewer. cílový stroj (klient) má také připojení tcp) na hlavní server teamviewer. když stisknete připojení, váš počítač sdělí hlavnímu serveru jeho úmysl. hlavní server vám pak poskytne ip adresu klientského počítače. váš počítač poté začne na klienta střílet pakety udp. klient je signalizován, že má v úmyslu se připojit a je mu přidělena vaše ip. klient také na vás začne střílet udp pakety.</p><p><em>pokud jsou brány firewall "přátelské k p2p"</em>, způsobí to, že brány firewall (vaše i klientská) povolí přenos, a tím "děrují díry" v bráně firewall. konkrétně to vyžaduje, aby brány firewall <em>ne</em> změnily veřejný port odchozího paketu pouze proto, že se změnil jeho cíl; firewall musí znovu použít stejný veřejný port, dokud se nezmění zdroj paketu. pokud se vaše brány firewall nebudou chovat tak přátelsky, nebude to fungovat. mnoho firewallů se však chová takto.</p><p>teamviewer samozřejmě přidává určité zabezpečení provedením kontroly pin/hesla před tím, než hlavní server odešle ip informaci oběma stranám, ale získáte představu.</p> <p>použil jsem klientský software vpn v systému mac os x, který unesl výchozí cestu k odeslání veškerého provozu tunelem (ve skutečnosti, pokud mi paměť slouží správně, to bylo cisco). pokud by byli nainstalováni dva tito klienti, nebo dokonce jeden a zdravý klient, pak odpověď na otázku „kam tento paket půjde?“ bude záviset na čase a implementaci. pravděpodobné možnosti jsou, že jeden z klientů „vyhraje“ a vyzvedne veškerý provoz, nebo že jeden z tunelů je implementován prostřednictvím druhého. co se stane v takovém případě na windows, je mimo mě.</p><p>když mluvíte o konfliktech „řešení adres“, záleží na tom, co máte na mysli. pokud máte na mysli arp řešení, neměl by to být problém. stejně jako u každého systému připojeného ke dvěma sítím by měla být v mac adresách dostatečná jedinečnost, aby nedošlo ke kolizím. pokud jde o rozlišení dns, záleží to na konkrétních implementacích klientů vpn a klientské schránky v soukromé síti. pokud se chovají správně, mělo by být možné použít server dns přes privátní síť nebo veřejnou síť (všimněte si však možnosti kolizí názvů na počítačích v klientských doménách vyhledávání). pokud se nebudou chovat, pak to opět záleží na specifikách situace.</p> <p>od <a href="http://forums.microsoft.com/technet/showpost.aspx?postid=3825120&amp;siteid=17">podpora společnosti microsoft</a> přes fóra společnosti microsoft:</p><blockquote> <p>další šetření zjistí, že se jedná o očekávané chování aplikace visio 2007. pokud aplikace visio otevře připojení pomocí ovladače serveru visio sql server zkontroluje verzi serveru a protože sql server 2008 dodáno po aplikaci visio 2007 nerozpozná sql server 2008 jako podporovanou verzi a zavře spojení. počkejte na budoucí verzi aplikace visio na loď, která rozpoznává sql server 2008 nebo použijte ovladač visio generic odbc, který může úspěšně otevřít připojení k serveru sql server 2008. třetí možností je použít kopii serveru sql server 2005 pro počáteční reverzní inženýrství. tým visio si je vědom tohoto problému.</p> </blockquote> Zatím nevím, zda ti budu vůbec umět poradit, ale asi bys měla něco doplnit. Chceš se s PC připojit na internet prostřednictvím telefonu nebo s telefonem prostřednictvím PC? Asi by nebylo od věci, kdybys uvedla i typ telefonu. Předpokládám, že propojení kabelem zvládáš - USB kabel, na jedné straně klasické USB do PC, na druhé micro USB do telefonu. 

Jak máš připojený PC teď? Kabel nebo také Wifi?

  
doplněno 30.07.17 16:12: @[wamp](https://www.poradte.cz/detail.php?kdo=wamp): Už je mi to jasné. Na mém Samsungu se připojím k WiFi, otevřu Nastavení - Sdílení internetového připojení zaškrtnout a pak v PC otevřu Nastavení - Síť a Internet - Centrum síťových připojení a sdílení. Objeví se tam Síť s připojením k internetu a můžeš brouzdat po netu. <p>samozřejmostí je autentizace klienta. může být použit ke zlepšení zabezpečení v kombinaci s přístupovým heslem nebo čipovou kartou nebo jako pohodlná náhrada za zadání hesla.</p><p>zajímavý návrh v tomto kontextu je <a href="http://webid.info/">webid single sign on protocol</a> .</p><p>hlavní problém s klientskými certifikáty je v tom, že je vázán na prohlížeč. takže pokud jste na jiném počítači, nemáte k nim přístup, pokud jste neučinili preventivní opatření.</p> <p>záleží na tom, jak moc chcete oddělit role.</p><p><strong> základní systém: </strong> váš „podpis“ je <a href="http://en.wikipedia.org/wiki/message\_authentication\_code"> mac </a> . „klíč api“ je tajná hodnota, se kterou se sdílí server a uživatel. normální mac algoritmy jako <a href="http://en.wikipedia.org/wiki/hmac"> hmac </a> mohou používat libovolné sekvence bitů jako klíč, takže klíč lze snadno vygenerovat pomocí <code>/dev/urandom</code> (linux, * bsd , macos x), volání <code>cryptgenrandom()</code> (win32) nebo pomocí <code>java.security.securerandom</code> (java).</p><p><strong> vylepšený systém: </strong> váš podpis je skutečný <a href="http://en.wikipedia.org/wiki/digital\_signature">digitální podpis</a> . to má smysl, pokud chcete oddělit generátor klíčů (který může vytvářet klíče, které bude server akceptovat), od samotného serveru (který ověřuje příchozí podpisy). klíče pro algoritmy podpisu jsou matematické objekty se spoustou vnitřní struktury a každý algoritmus zahrnuje specifický algoritmus generování klíčů. použijte knihovnu, která již implementuje potřebné bity (např. <a href="http://www.openssl.org/">openssl</a> ).</p><hr><p><strong> v každém případě </strong> je toho více než jen generování klíčů a podpisy. například se pravděpodobně chcete vyhnout <em>opakované útoky</em>: špatně zamýšlená třetí strana špehuje v síti a zaznamenává platnou žádost podepsanou běžným uživatelem. útočník později odešle požadavek znovu, doplněný jeho podpisem, aby se účinek replikoval. abyste se vyhnuli opakovaným útokům, musíte přidat nějaký externí protokol a tyto věci je obtížné udělat (není těžké definovat protokol; je <em>velmi</em> obtížné definovat <em>zabezpečené]</em> protokol). chytrá věc je proto opětovné použití existujícího, dobře prověřeného protokolu, což v praxi znamená <a href="http://en.wikipedia.org/wiki/transport\_layer\_security">ssl/tls</a> .</p><p>u ssl je „základní systém“ omezen na odesílání klíče api v záhlaví na začátku konverzace (to je přesně to, co se děje při ověřování hesla na webech https). "rozšířený systém" je pak "ssl s klientským certifikátem".</p> <pre><code>sudo apt update sudo apt install ssh sudo ufw allow 22 # if you have ufw running, but it doesn't hurt to run. </code></pre><p>to je velmi minimum. umožňuje neomezený počet neúspěšných pokusů o heslo na známém portu. přímé přihlášení root je zakázáno (po přihlášení se stále můžete <code>su</code> a <code>sudo</code>). pokud je vaše uživatelské jméno a heslo hádatelné a internet vidí server, někdo <em> se nakonec </em> vnikne.</p><p>nemohu to dostatečně zdůraznit: <strong> <em> je třeba zatvrdit výchozí nastavení. </em> </strong> pro pravděpodobnost, že budou napadeni, ale <a href="https://thepcspy.com/read/making-ssh-secure/">prošel jsem několika návrhy na svém blog</a> . alespoň bych navrhl:</p><ul> <li>přihlášení pomocí klíčů. zakázat přihlášení heslem.</li> <li>přesuňte jej z portu 22. použijte něco šíleného v rozsahu 20000-60000.</li> <li>použijte <code>fail2ban</code> zakazovat lidem, kteří to najdou, a pokusit se to přenést.</li> </ul><p>zabere vám to méně než 10 minut a oni vás vezmou z 1/10000 šance, že se dostanou do pravděpodobnosti tak malé, že na světě není dost papíru, aby mohl napsat její zlomek. vše za předpokladu, že jste opatrní s vaším klíčem, má vlastní přístupové fráze a vy nebudete trubat vaše pověření po celé síti.</p><p>pokud jde o přístup k tomuto serveru ssh z internetu, můžete čelit překážkám v místní síti. pokud je počítač za routerem nat (např. většina domácích sítí) bez přímého příchozího přístupu z internetu, možná budete muset podívat na <a href="https://portforward.com/">přesměrování portů</a> . samozřejmě, pokud nepotřebujete přístup mimo síť, přeskočení tohoto kroku zajistí zabezpečení sítě.</p>