MikroTik VPN erabiltzailea gehiegi iristen da: mugatu ostalari batera eta ataka batera

Tunela altxatzen da, saioa ondo hasten da, eta sareko ostalari guztiek erantzuten dute. Hori ez da VPN hondatua; hori baimen-eredurik gabeko VPNa da. RouterOS-ek kontua autentifikatzen du eta gero bere paketeak edonorenenak bezala bideratzen ditu, beraz suebakiak eman behar du muga. Mugatze hori saioa hautsi gabe gehitzea da lan guztia.

Autentifikazioa baimena hasten den tokian amaitzen da

PPP saioa altxatuta dagoenean, bezeroaren paketeak forward katean sartzen dira beste edozein interfazetako trafiko gisa. Routerraren forward politika permisiboa bada, kontsultoreak permisibitate hori heredatzen du saioa hastean. Kontuak ez zuen inoiz esparrurik eraman, beraz ez dago ezer aldatzeko kontuan. Arau-multzoa langileentzat idatzi zen eta saio berria besterik gabe batu zitzaion.

Egiaztatu eskaerak zein bideri egiten dion erreferentzia ezer idatzi aurretik. Routerraren atzeko ostalarietarako trafikoak forward zeharkatzen du, routerrera berarengana doan trafikoak, winbox eta SSH barne, input zeharkatzen duen bitartean. Forward soila estaltzen duen esparruak gailua bezero beraren aurrean irekita uzten du.

Bi kateek erabaki bat behar dute, erabakia input itxita uztea izan arren. Aukera hori sarbide-eskaeran dago, ez geroagoko pentsamendu batean.

Lotu saioa izena duen zerrenda batera

PPP profile batek ematen duen helbidea izena duen helbide-zerrenda batean jar dezake saioa hasten denean. Horrek aldi baterako tunel-helbidea suebakiak izenez pareka dezakeen zerbait bihurtzen du, eta sarrera desagertu egiten da saioa amaitzean. Kontuak orduan esparrua bere profiletik heredatzen du, helbidea gogorki kodetzen duen arautik beharrean.

Sortu profila lehenik, eta gero lotu secret esplizituki hari. Oraindik profil lehenetsira seinalatzen duen secret batek jatorrizko arazoa reproduzitzen du.

Izena eman profilari eta zerrendari haien zereginak agerikoak izan daitezen, eta iruzkindu biak eskaeraren erreferentziarekin. Profil batek hainbat pertsonari zerbitzu diezaieke esparru berarekin, zerrendak saio bizi bakoitza oraindik identifikatzen duen bitartean. Pertsonako arau bat baino merkeagoa da berrikusteko.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Erregistratu baimendutako zerbitzua zerrenda bakarrean

Jarri baimendutako zerbitzaria bere helbide-zerrendan, helbidea iragazki-arau batean txertatu beharrean. Zerrenda auditatu, zabaldu eta iruzkinduta egon daiteke, eta hura erabiltzen duen araua ez da aldatzen zerbitzaria lekuz aldatzen denean. Sarrera bakar bat gehiegizkoa dirudi bigarren ostalaria iritsi arte, eta hori normalean gertatzen da.

Parekatu zerrenda bat helbidea dinamikoa edo karga-banatua denean, eta parekatu helbidea zuzenean erreserbatuta eta egonkorra denean. Edozein aukera argi irakurtzen da iruzkinak zerbitzua eta jabea izendatzen baditu.

Mugatu protokoloa eta ataka ostalaria ez ezik. Ataka-mugarik gabeko ostalari bati emandako accept batek ostalari horrek exekutatzen duen zerbitzu guztiak irekitzen ditu, sarbide-eskaera gehienek asmo dutena baino zabalagoa. Ataka baimenaren zati da, ez geroago gehitzen den xehetasun bat.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Ordenatu jauzia accept zabal baten aurretik

Jauzi-arau batek esparru mugatuko zerrendatik birbidalitako trafikoa kate pribatu batera bidaltzen du, non politika osoa hiru lerrotan sartzen den. Lehen arauak baimendutako helmuga eta ataka onartzen ditu, eta azkenak gainerako guztia botatzen du. Jauziak forward-eko accept zabal ororen gainetik egon behar du, izan ere, lehenagoko accept batek jauzia inoiz exekutatzen ez dela esan nahi du. Eutsi established eta related accept jauziaren aurretik, itzulera-trafikoak jariatzeko.

Egiaztatu fasttrack arau batek ere ezin duela trafiko hau kate mugatutik kanpo eraman. Fasttrack-ek iragazki-bidearen gainerakoa saihesten du, eta fasttrack egiten den esparru mugatuko saioa ez dago batere mugatuta.

Errepikatu erabakia input katearentzat routerraren zerbitzu propioak irisgarriezinak izan behar badira. Birbidalitako trafikoa blokeatu eta winbox irekita uzten duen esparrua erdi egina besterik ez dago.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Egiaztatu kontagailuekin eta zerrendako kidetzarekin

Bezerotik, probatu baimendutako zerbitzua eta huts egin behar duen bat, eta gero irakurri arauen estatistikak routerrean. Accept eta drop kontagailuek erakusten dute pakete bakoitzak zein bide hartu zuen, bezeroak ikusi ezin duena. Egiaztatu, halaber, saio biziaren helbidea esparru mugatuko zerrendan agertu zela.

Zerrenda huts batek esan nahi du kontua beste profil batean dagoela edo profilak helbide-zerrendaren ezarpena galdu duela. Drop kontagailua igotzeak baimendutako zerbitzua huts egiten duen bitartean esan nahi du helmuga edo ataka ez datozela bat bezeroak bidaltzen duenarekin.

Probatu zerbitzu bera izenez eta helbidez ondoriorik atera aurretik. Izen ebazpeneko huts batek blokeatutako ataka bat bezalaxe dirudi bezeroaren aldetik. Gero erregistratu profila, bi zerrendak eta baimendutako zerbitzu bakarra sarbide-eskaeran, hurrengo berrikuspenak berreraiki beharrean konpara dezan.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients