Vlákno názorů k článku Postřehy z bezpečnosti: záplaty od mnoha výrobců od anonym - Tak zrovna oprava od MS na CVE-2021–22947 s...

Tak zrovna oprava od MS na CVE-2021–22947 s označením KB5009543 nám ve firmě na všech strojích vyřadila z provozu všechny L2TP vpnky které používají buildin vpn klienta od microsoftu...

<dl>
<dt>No, ona to rozdělí</dt>

<dd>MS klient se před i po aktualizaci připojí na MS server před i po aktualizaci</dd>

<dd>po aktualizaci serveru se na něj nepřipojí non-MS klient</dd>

<dd>po aktualizaci se MS klient nepřipojí na non-MS server</dd>
</dl>

Řešením na straně serveru má být zakázat Vendor ID, ale nepodařilo se mi najít, jestli to jde zakázat na MS serveru.
Naštěstí tam, kde mě to zajímá, mám ještě taky nakonfigurované OpenVPN.

17. 1. 2022, 14:04 editováno autorem komentáře

Zákazem Vendor ID (pokud by to šlo nastavit) docílíte toho, že od sebe nepůjde odlišit klienty za společným NATem. Myslím, že to v době CGNATů není úplně to pravé řešení... :-)
https://forum.mikrotik.com/viewtopic.php?t=182163

To se má nastavit na serveru - tak nevím, co to udělá. MS server to asi ani neumí (nebo jsem to nenašel), vyzkoušet nemůžu. Další řešení - odinstalovat ten update často ani nejde a zároveň zruší ostatní opravy - taky není moc dobré řešení.
Zatím mi to vychází tak, že alternativa (OpenVPN) je ideální.
Je vždycky lepší mít víc možností, pak můžu v klidu počkat na opravu opravy.

No udělá to přesně to, co jsem psala... :-)

U Microsoftů píší ještě o tom, že je možné nahradit knihovnu IKEEXT.DLL starší verzí, ale otázka je, jestli by to zase nerozbilo něco jiného...
https://techcommunity.microsoft.com/t5/report-an-issue/windows-11-update-kb5009566-inhibits-vpn-connection/m-p/3057844/page/4