Defnyddiwr MikroTik VPN yn cyrraedd yn rhy bell: cyfyngu i un gwesteiwr ac un porth

Mae'r twnnel yn codi, mae'r mewngofnodi'n llwyddo, ac mae pob gwesteiwr ar y rhwydwaith yn ateb. Nid VPN wedi torri yw hyn; VPN heb fodel caniatâd yw hyn. Mae RouterOS yn dilysu'r cyfrif ac yna'n llwybro ei becynnau fel unrhyw un arall, felly rhaid i'r wal dân ddarparu'r terfyn. Ychwanegu'r terfyn hwnnw heb dorri'r mewngofnodi yw'r gwaith cyfan.

Mae dilysu'n gorffen lle mae caniatâd yn dechrau

Unwaith y bydd sesiwn PPP i fyny, mae pecynnau'r cleient yn mynd i mewn i'r gadwyn forward fel traffig o unrhyw ryngwyneb arall. Os yw polisi forward y llwybrydd yn caniatäol, mae'r ymgynghorydd yn etifeddu'r caniatäoldeb hwnnw wrth fewngofnodi. Nid oedd y cyfrif erioed wedi cario cwmpas, felly nid oes dim ar y cyfrif i'w newid. Ysgrifennwyd y set rheolau ar gyfer gweithwyr ac yn syml ymunodd y sesiwn newydd â hi.

Gwiriwch pa lwybr y mae'r cais yn ymwneud ag ef cyn ysgrifennu unrhyw beth. Mae traffig i westeiwyr y tu ôl i'r llwybrydd yn croesi forward, tra bod traffig i'r llwybrydd ei hun, gan gynnwys winbox a SSH, yn croesi input. Mae cwmpas sy'n cwmpasu forward yn unig yn gadael y ddyfais yn agored i'r un cleient.

Mae angen penderfyniad ar y ddwy gadwyn, hyd yn oed os y penderfyniad yw gadael input ar gau. Mae'r dewis hwnnw'n perthyn i'r cais mynediad, nid i ôl-ffaith.

Cysylltwch y sesiwn â rhestr a enwir

Gall proffil PPP osod y cyfeiriad a roddir ganddo mewn rhestr gyfeiriadau a enwir wrth i'r sesiwn ddechrau. Mae hynny'n troi cyfeiriad twnnel dros dro yn rhywbeth y gall y wal dân ei gyfateb wrth enw, ac mae'r cofnod yn diflannu pan ddaw'r sesiwn i ben. Yna mae'r cyfrif yn etifeddu'r cwmpas o'i broffil yn hytrach nag o reol sy'n codio cyfeiriad yn galed.

Crëwch y proffil yn gyntaf, yna clymwch y secret iddo'n benodol. Mae secret sy'n dal i bwyntio at y proffil rhagosodedig yn atgynhyrchu'r broblem wreiddiol.

Enwch y proffil a'r rhestr fel bod eu gwaith yn amlwg, a rhowch sylw i'r ddau gyda chyfeirnod y cais. Gall un proffil wasanaethu sawl person â'r un cwmpas, tra bod y rhestr yn dal i nodi pob sesiwn fyw. Mae hynny'n rhatach i'w adolygu na rheol y person.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Cofnodwch y gwasanaeth a ganiateir mewn un rhestr

Rhowch y gweinydd a ganiateir yn ei restr gyfeiriadau ei hun yn lle mewnosod y cyfeiriad mewn rheol hidlo. Gellir archwilio, ymestyn a sylwebu ar y rhestr, ac nid yw'r rheol sy'n ei defnyddio yn newid pan fydd y gweinydd yn symud. Mae un cofnod yn edrych yn ormodol nes i'r ail westeiwr gyrraedd, sy'n digwydd fel arfer.

Cyfatebwch restr pan fo'r cyfeiriad yn ddeinamig neu'n gydbwysedd llwyth, a chyfatebwch y cyfeiriad yn uniongyrchol pan fo'n gadw ac yn sefydlog. Mae'r naill ddewis neu'r llall yn darllen yn glir os yw'r sylw'n enwi'r gwasanaeth a'r perchennog.

Cyfyngwch y protocol a'r porth yn ogystal â'r gwesteiwr. Mae accept ar gyfer gwesteiwr heb gyfyngiad porth yn agor pob gwasanaeth y mae'r gwesteiwr hwnnw'n ei redeg, sy'n ehangach nag y mae'r rhan fwyaf o geisiadau mynediad yn ei fwriadu. Mae'r porth yn rhan o'r caniatâd, nid manylyn i'w ychwanegu'n ddiweddarach.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Trefnwch y naid cyn unrhyw accept eang

Mae rheol naid yn anfon traffig a anfonwyd ymlaen o'r rhestr gwmpasog i gadwyn breifat lle mae'r polisi cyfan yn ffitio mewn tair llinell. Mae'r rheol gyntaf yn derbyn y gyrchfan a'r porth a ganiateir, ac mae'r rheol olaf yn gollwng popeth arall. Rhaid i'r naid fod uwchben unrhyw accept eang yn forward, oherwydd mae accept cynharach yn golygu nad yw'r naid byth yn rhedeg. Cadwch yr accept established a related o flaen y naid fel bod traffig dychwelyd yn dal i lifo.

Gwiriwch na all unrhyw reol fasttrack gludo'r traffig hwn heibio'r gadwyn gwmpasog. Mae fasttrack yn osgoi gweddill y llwybr hidlo, ac nid yw sesiwn gwmpasog sy'n cael ei fasttrackio yn gwmpasog o gwbl.

Ailadroddwch y penderfyniad ar gyfer y gadwyn input os dylai gwasanaethau'r llwybrydd ei hun fod yn anghyraeddadwy. Mae cwmpas sy'n blocio traffig a anfonir ymlaen ac yn gadael winbox ar agor ond hanner gorffenedig.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Gwiriwch â chyfrifwyr ac aelodaeth rhestr

O'r cleient, profwch y gwasanaeth a ganiateir ac un y mae'n rhaid iddo fethu, yna darllenwch ystadegau rheolau ar y llwybrydd. Mae cyfrifwyr accept a drop yn dangos pa lwybr y cymerodd pob pecyn, na all y cleient ei weld. Cadarnhewch hefyd fod cyfeiriad y sesiwn fyw wedi ymddangos yn y rhestr gwmpasog.

Mae rhestr wag yn golygu bod y cyfrif ar broffil gwahanol neu fod y proffil wedi colli ei osodiad rhestr gyfeiriadau. Mae cyfrifydd drop sy'n dringo gyda gwasanaeth a ganiateir yn methu yn golygu nad yw'r gyrchfan na'r porth yn cyfateb i'r hyn y mae'r cleient yn ei anfon.

Profwch yr un gwasanaeth wrth enw ac wrth gyfeiriad cyn dod i unrhyw gasgliad. Mae methiant datrys enw yn edrych yn union fel porth wedi'i blocio o ochr y cleient. Yna cofnodwch y proffil, y ddwy restr a'r unig wasanaeth a ganiateir yn y cais mynediad fel bod yr adolygiad nesaf yn cymharu yn lle ailadeiladu.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients