Usuari de MikroTik VPN que arriba massa lluny: limiteu-lo a un amfitrió i un port

El túnel s'aixeca, l'inici de sessió té èxit i cada amfitrió de la xarxa respon. Això no és una VPN espatllada; és una VPN sense model de permisos. RouterOS autentica el compte i després encamina els seus paquets com els de qualsevol altre, així que el tallafoc ha de proporcionar el límit. Afegir aquest límit sense trencar l'inici de sessió és tota la feina.

L'autenticació acaba on comença el permís

Un cop la sessió PPP està aixecada, els paquets del client entren a la cadena forward com el trànsit de qualsevol altra interfície. Si la política forward del router és permissiva, el consultor hereta aquesta permissivitat en iniciar sessió. El compte mai no portava cap abast, així que no hi ha res al compte per canviar. El conjunt de regles es va escriure per als empleats i la nova sessió simplement s'hi va afegir.

Comproveu a quin camí es refereix la sol·licitud abans d'escriure res. El trànsit als amfitrions darrere del router travessa forward, mentre que el trànsit al mateix router, incloent-hi winbox i SSH, travessa input. Un abast que només cobreix forward deixa el dispositiu obert al mateix client.

Totes dues cadenes necessiten una decisió, encara que la decisió sigui deixar input tancat. Aquesta elecció pertany a la sol·licitud d'accés, no a un pensament posterior.

Adjunteu la sessió a una llista amb nom

Un perfil PPP pot col·locar l'adreça que assigna en una llista d'adreces amb nom quan comença la sessió. Això converteix una adreça de túnel transitòria en una cosa que el tallafoc pot aparellar pel nom, i l'entrada desapareix quan acaba la sessió. El compte aleshores hereta l'abast del seu perfil en lloc d'una regla que codifica una adreça de manera rígida.

Creeu primer el perfil i després enllaceu-hi el secret explícitament. Un secret que encara apunta al perfil predeterminat reprodueix el problema original.

Anomeneu el perfil i la llista de manera que les seves tasques siguin evidents, i comenteu tots dos amb la referència de la sol·licitud. Un perfil pot servir diverses persones amb el mateix abast, mentre que la llista encara identifica cada sessió viva. És més barat de revisar que una regla per persona.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Registreu el servei permès en una llista

Poseu el servidor permès a la seva pròpia llista d'adreces en lloc d'incrustar l'adreça en una regla de filtre. La llista es pot auditar, ampliar i comentar, i la regla que la consumeix no canvia quan el servidor es mou. Una sola entrada sembla excessiva fins que arriba el segon amfitrió, cosa que sol passar.

Aparelleu una llista quan l'adreça és dinàmica o balancejada, i aparelleu l'adreça directament quan està reservada i és estable. Qualsevol de les dues opcions es llegeix clarament si el comentari anomena el servei i el propietari.

Limiteu el protocol i el port així com l'amfitrió. Una acceptació per a un amfitrió sense restricció de port obre tots els serveis que aquell amfitrió executa, cosa més àmplia del que pretenen la majoria de sol·licituds d'accés. El port forma part del permís, no un detall a afegir més endavant.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Ordeneu el salt abans de qualsevol acceptació àmplia

Una regla de salt envia el trànsit reenviat des de la llista limitada a una cadena privada on tota la política cap en tres línies. La primera regla accepta la destinació i el port permesos, i l'última descarta tota la resta. El salt ha d'estar per sobre de qualsevol acceptació àmplia a forward, perquè una acceptació anterior fa que el salt no s'executi mai. Mantingueu l'acceptació d'established i related abans del salt perquè el trànsit de retorn segueixi fluint.

Comproveu que cap regla fasttrack pugui portar aquest trànsit més enllà de la cadena limitada. Fasttrack evita la resta del camí de filtratge, i una sessió limitada que passa per fasttrack no està limitada gens.

Repetiu la decisió per a la cadena input si els serveis propis del router han de ser inabastables. Un abast que bloqueja el trànsit reenviat i deixa winbox obert només està mig acabat.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Verifiqueu amb comptadors i pertinença a la llista

Des del client, proveu el servei permès i un que ha de fallar, i després llegiu les estadístiques de regles al router. Els comptadors d'acceptació i descart mostren quin camí va prendre cada paquet, cosa que el client no pot veure. Confirmeu també que l'adreça de la sessió viva va aparèixer a la llista limitada.

Una llista buida vol dir que el compte és en un altre perfil o que el perfil ha perdut la configuració de llista d'adreces. Un comptador de descart que puja amb un servei permès que falla vol dir que la destinació o el port no coincideixen amb el que envia el client.

Proveu el mateix servei pel nom i per l'adreça abans de concloure res. Un fracàs de resolució de noms sembla exactament un port bloquejat des del costat del client. Després registreu el perfil, totes dues llistes i l'únic servei permès a la sol·licitud d'accés perquè la propera revisió compari en lloc de reconstruir.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients