MikroTik VPN ব্যবহারকারী অতিরিক্ত জায়গায় পৌঁছায়: একটি হোস্ট, একটি পোর্টে সীমাবদ্ধ করুন

টানেল উঠে আসে, লগইন সফল হয়, এবং নেটওয়ার্কের প্রতিটি হোস্ট সাড়া দেয়। এটি একটি নষ্ট VPN নয়; এটি অনুমতি-মডেল ছাড়া একটি VPN। RouterOS অ্যাকাউন্টটি প্রমাণীকরণ করে এবং তারপর অন্য যে কারও মতো এর প্যাকেট রুট করে, তাই ফায়ারওয়ালকে সীমাটি সরবরাহ করতে হয়। লগইন না ভেঙে সেই সীমা যোগ করাই পুরো কাজ।

প্রমাণীকরণ শেষ হয় যেখানে অনুমতি শুরু হয়

PPP সেশন উঠে গেলে ক্লায়েন্টের প্যাকেট অন্য যেকোনো ইন্টারফেসের ট্রাফিকের মতো forward চেইনে প্রবেশ করে। রাউটারের forward নীতি উদার হলে পরামর্শক লগইনে সেই উদারত্বই উত্তরাধিকার সূত্রে পায়। অ্যাকাউন্টটি কখনো কোনো পরিধি বহন করেনি, তাই অ্যাকাউন্টে বদলানোর কিছু নেই। নিয়মের সেটটি কর্মচারীদের জন্য লেখা হয়েছিল এবং নতুন সেশনটি কেবল তাতে যোগ দিয়েছে।

কিছু লেখার আগে অনুরোধটি কোন পথ নিয়ে তা যাচাই করুন। রাউটারের পেছনের হোস্টগুলিতে ট্রাফিক forward অতিক্রম করে, অন্যদিকে রাউটারের নিজের দিকে ট্রাফিক, winbox ও SSH সহ, input অতিক্রম করে। কেবল forward কভার করা পরিধি ডিভাইসটিকে একই ক্লায়েন্টের জন্য খোলা রাখে।

উভয় চেইনেরই একটি সিদ্ধান্ত দরকার, যদিও সিদ্ধান্তটি হয় input বন্ধ রাখা। সেই পছন্দটি অ্যাক্সেস অনুরোধের অংশ, পরে ভাবার বিষয় নয়।

সেশনটিকে একটি নামকৃত তালিকায় সংযুক্ত করুন

একটি PPP প্রোফাইল সেশন শুরু হওয়ার সময় যে ঠিকানাটি দেয় তা একটি নামকৃত ঠিকানা তালিকায় রাখতে পারে। এটি ক্ষণস্থায়ী টানেল ঠিকানাকে এমন কিছুতে রূপান্তরিত করে যা ফায়ারওয়াল নাম দিয়ে মেলাতে পারে, এবং সেশন শেষ হলে এন্ট্রিটি চলে যায়। তখন অ্যাকাউন্টটি ঠিকানা হার্ডকোড করা নিয়মের বদলে তার প্রোফাইল থেকে পরিধি উত্তরাধিকার করে।

আগে প্রোফাইল তৈরি করুন, তারপর secret স্পষ্টভাবে এতে বেঁধে দিন। ডিফল্ট প্রোফাইলে নির্দেশ করা secret মূল সমস্যাটি পুনরুৎপাদন করে।

প্রোফাইল ও তালিকার নাম এমনভাবে দিন যাতে তাদের কাজ স্পষ্ট হয়, এবং দুটিতেই অনুরোধের রেফারেন্স মন্তব্য করুন। একটি প্রোফাইল একই পরিধিসহ কয়েকজনকে সেবা দিতে পারে, আর তালিকা এখনও প্রতিটি জীবন্ত সেশন চিহ্নিত করে। প্রতি ব্যক্তির জন্য একটি নিয়মের চেয়ে এটি পর্যালোচনায় সস্তা।

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

অনুমোদিত সেবাটি একটি তালিকায় লিপিবদ্ধ করুন

অনুমোদিত সার্ভারটিকে ফিল্টার নিয়মে ঠিকানা এমবেড করার বদলে তার নিজস্ব ঠিকানা তালিকায় রাখুন। তালিকাটি নিরীক্ষণ, সম্প্রসারণ ও মন্তব্য করা যায়, এবং সার্ভার সরে গেলেও এটি ব্যবহারকারী নিয়মটি বদলায় না। একটি মাত্র এন্ট্রি অতিরিক্ত মনে হয় যতক্ষণ না দ্বিতীয় হোস্ট আসে, যা সাধারণত আসে।

ঠিকানাটি গতিশীল বা লোড-ব্যালান্সড হলে তালিকা মেলান, আর সংরক্ষিত ও স্থিতিশীল হলে সরাসরি ঠিকানা মেলান। মন্তব্যে সেবা ও মালিকের নাম থাকলে যেকোনো পছন্দই স্পষ্ট পড়া যায়।

হোস্টের পাশাপাশি প্রোটোকল ও পোর্টও সীমাবদ্ধ করুন। পোর্ট সীমাবদ্ধতা ছাড়া একটি হোস্টের জন্য accept সেই হোস্টের চালানো প্রতিটি সেবা খুলে দেয়, যা বেশিরভাগ অ্যাক্সেস অনুরোধের উদ্দেশ্যের চেয়ে প্রশস্ত। পোর্টটি অনুমতির অংশ, পরে যোগ করার বিবরণ নয়।

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

যেকোনো বিস্তৃত accept-এর আগে জাম্পটি সাজান

একটি জাম্প নিয়ম পরিধিভুক্ত তালিকা থেকে ফরোয়ার্ড করা ট্রাফিককে একটি ব্যক্তিগত চেইনে পাঠায় যেখানে পুরো নীতি তিন লাইনে ধরে। প্রথম নিয়মটি অনুমোদিত গন্তব্য ও পোর্ট গ্রহণ করে, আর শেষ নিয়মটি বাকি সব বাদ দেয়। জাম্পটি forward-এ যেকোনো বিস্তৃত accept-এর উপরে থাকতে হবে, কারণ আগের accept মানে জাম্প কখনো চলে না। ফেরত ট্রাফিক প্রবাহিত থাকার জন্য established ও related accept জাম্পের আগে রাখুন।

যাচাই করুন কোনো fasttrack নিয়ম এই ট্রাফিককে পরিধিভুক্ত চেইন এড়িয়ে নিতে পারে না। Fasttrack ফিল্টার পথের বাকি অংশ এড়িয়ে যায়, এবং fasttrack করা পরিধিভুক্ত সেশন আদৌ পরিধিভুক্ত নয়।

রাউটারের নিজস্ব সেবাগুলো অপ্রাপ্য হওয়া উচিত হলে input চেইনের জন্য সিদ্ধান্তটি পুনরাবৃত্তি করুন। যে পরিধি ফরোয়ার্ড করা ট্রাফিক ব্লক করে আর winbox খোলা রাখে, তা অর্ধেকই শেষ।

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

কাউন্টার ও তালিকা-সদস্যতা দিয়ে যাচাই করুন

ক্লায়েন্ট থেকে অনুমোদিত সেবা এবং অবশ্যই ব্যর্থ হওয়া উচিত এমন একটি সেবা পরীক্ষা করুন, তারপর রাউটারে নিয়মের পরিসংখ্যান পড়ুন। accept ও drop কাউন্টার দেখায় প্রতিটি প্যাকেট কোন পথ নিয়েছে, যা ক্লায়েন্ট দেখতে পায় না। জীবন্ত সেশনের ঠিকানাটি পরিধিভুক্ত তালিকায় এসেছে তাও নিশ্চিত করুন।

খালি তালিকা মানে অ্যাকাউন্টটি ভিন্ন প্রোফাইলে বা প্রোফাইলটি তার ঠিকানা-তালিকা সেটিং হারিয়েছে। অনুমোদিত সেবা ব্যর্থ হওয়া সত্ত্বেও drop কাউন্টার বাড়লে বোঝায় গন্তব্য বা পোর্ট ক্লায়েন্ট যা পাঠায় তার সঙ্গে মেলে না।

কোনো সিদ্ধান্তে পৌঁছানোর আগে একই সেবা নাম ও ঠিকানা দিয়ে পরীক্ষা করুন। নাম রিজলভ ব্যর্থতা ক্লায়েন্টের দিক থেকে অবরুদ্ধ পোর্টের মতোই দেখায়। তারপর প্রোফাইল, দুই তালিকা ও একমাত্র অনুমোদিত সেবা অ্যাক্সেস অনুরোধে লিপিবদ্ধ করুন যাতে পরের পর্যালোচনা পুনর্গঠনের বদলে তুলনা করে।

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients