MikroTik-VPN-gebruiker bereik te veel: beperk tot een gasheer, een poort

Die tonnel kom op, die aanmelding slaag, en elke gasheer op die netwerk antwoord. Dit is nie 'n stukkende VPN nie; dit is 'n VPN sonder 'n toestemmingsmodel. RouterOS verifieer die rekening en stuur dan sy pakkette soos enigiemand anders s'n, so die vuurmuur moet die beperking voorsien. Om daardie beperking by te voeg sonder om die aanmelding te breek, is die hele taak.

Verifikasie eindig waar toestemming begin

Sodra 'n PPP-sessie op is, betree pakkette van die kliënt die forward-ketting soos verkeer van enige ander koppelvlak. As die router se forward-beleid toegeeflik is, erf die konsultant daardie toegeeflikheid by aanmelding. Die rekening het nooit 'n omvang gedra nie, so daar is niks op die rekening om te verander nie. Die reëlstel is vir werknemers geskryf en die nuwe sessie het bloot daarby aangesluit.

Kontroleer oor watter pad die versoek gaan voordat jy iets skryf. Verkeer na gashere agter die router kruis forward, terwyl verkeer na die router self, insluitend winbox en SSH, input kruis. 'n Omvang wat net forward dek, laat die toestel oop vir dieselfde kliënt.

Beide kettings het 'n besluit nodig, selfs as die besluit is om input toe te hou. Daardie keuse hoort in die toegangsversoek, nie in 'n nagedagte nie.

Heg die sessie aan 'n genoemde lys

'n PPP-profiel kan die adres wat dit uitdeel in 'n genoemde adreslys plaas wanneer die sessie begin. Dit omskep 'n verbygaande tonneladres in iets wat die vuurmuur by naam kan pas, en die inskrywing verdwyn wanneer die sessie eindig. Die rekening erf dan die omvang van sy profiel eerder as van 'n reël wat 'n adres hardkodeer.

Skep eers die profiel en bind dan die secret eksplisiet daaraan. 'n Secret wat steeds na die verstekprofiel wys, herproduseer die oorspronklike probleem.

Noem die profiel en die lys so dat hul take duidelik is, en lewer kommentaar op albei met die versoekverwysing. Een profiel kan verskeie mense met dieselfde omvang bedien, terwyl die lys steeds elke lewende sessie identifiseer. Dit is goedkoper om na te gaan as 'n reël per persoon.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Teken die toegelate diens in een lys aan

Plaas die toegelate bediener in sy eie adreslys in plaas daarvan om die adres in 'n filterreël in te bed. Die lys kan geouditeer, uitgebrei en van kommentaar voorsien word, en die reël wat dit gebruik verander nie wanneer die bediener skuif nie. 'n Enkele inskrywing lyk na oordadigheid totdat die tweede gasheer opdaag, wat gewoonlik gebeur.

Pas 'n lys wanneer die adres dinamies of lasgebalanseerd is, en pas die adres direk wanneer dit gereserveer en stabiel is. Enige keuse lees duidelik as die kommentaar die diens en die eienaar noem.

Beperk die protokol en die poort sowel as die gasheer. 'n Aanvaarding vir 'n gasheer sonder poortbeperking open elke diens wat daardie gasheer bedryf, wat breër is as wat die meeste toegangsversoeke bedoel. Die poort is deel van die toestemming, nie 'n detail om later by te voeg nie.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Orde die sprong voor enige breë aanvaarding

'n Sprongreël stuur geforwarde verkeer van die beperkte lys na 'n private ketting waar die hele beleid op drie reëls pas. Die eerste reël aanvaar die toegelate bestemming en poort, en die laaste reël laat alles anders val. Die sprong moet bo enige breë aanvaarding in forward sit, want 'n vroeëre aanvaarding beteken die sprong loop nooit. Hou die established- en related-aanvaarding voor die sprong sodat terugkeerverkeer steeds vloei.

Kontroleer dat geen fasttrack-reël hierdie verkeer verby die beperkte ketting kan dra nie. Fasttrack omseil die res van die filterpad, en 'n beperkte sessie wat gefasttrack word, is glad nie beperk nie.

Herhaal die besluit vir die input-ketting as die router se eie dienste onbereikbaar moet wees. 'n Omvang wat geforwarde verkeer blokkeer en winbox oop laat, is net halfpad klaar.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Verifieer met tellers en lyslidmaatskap

Toets vanaf die kliënt die toegelate diens en een wat moet misluk, en lees dan die reëlstatistieke op die router. Die aanvaardings- en valtellers wys watter pad elke pakket gevolg het, wat die kliënt nie kan sien nie. Bevestig ook dat die lewende sessie-adres in die beperkte lys verskyn het.

'n Leë lys beteken die rekening is op 'n ander profiel of die profiel het sy adreslys-instelling verloor. 'n Stygende valteller met 'n mislukte toegelate diens beteken die bestemming of poort stem nie ooreen met wat die kliënt stuur nie.

Toets dieselfde diens by naam en by adres voordat jy enigiets aflei. 'n Naamresolusiefout lyk presies soos 'n geblokkeerde poort van die kliënt se kant. Teken dan die profiel, albei lyste en die enkele toegelate diens in die toegangsversoek aan sodat die volgende hersiening vergelyk eerder as herkonstrueer.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients