MikroTik VPN -käyttäjä yltää liian pitkälle: rajaa yhteen isäntään ja yhteen porttiin

Tunneli nousee, kirjautuminen onnistuu ja jokainen verkon isäntä vastaa. Se ei ole rikki mennyt VPN; se on VPN ilman käyttöoikeusmallia. RouterOS todentaa tilin ja reitittää sitten sen paketit kuten kenen tahansa muun, joten palomuurin on tarjottava raja. Tämän rajan lisääminen kirjautumista rikkomatta on koko työ.

Todennus päättyy siihen, mihin käyttöoikeus alkaa

Kun PPP-istunto on pystyssä, asiakkaan paketit tulevat forward-ketjuun kuin liikenne miltä tahansa muulta liitännältä. Jos reitittimen forward-käytäntö on salliva, konsultti perii tämän sallivuuden kirjautuessaan. Tili ei koskaan kantanut laajuutta, joten tilillä ei ole mitään muutettavaa. Sääntökokonaisuus kirjoitettiin työntekijöille ja uusi istunto yksinkertaisesti liittyi siihen.

Tarkista, mitä polkua pyyntö koskee, ennen kuin kirjoitat mitään. Liikenne reitittimen takana oleviin isäntiin kulkee forwardin läpi, kun taas liikenne itse reitittimelle, mukaan lukien winbox ja SSH, kulkee inputin läpi. Laajuus, joka kattaa vain forwardin, jättää laitteen avoimeksi samalle asiakkaalle.

Molemmat ketjut tarvitsevat päätöksen, vaikka päätös olisi jättää input kiinni. Tämä valinta kuuluu käyttöoikeuspyyntöön, ei jälkikäteen tulevaan ajatukseen.

Liitä istunto nimettyyn luetteloon

PPP-profiili voi laittaa istunnon alkaessa jakamansa osoitteen nimettyyn osoiteluetteloon. Se muuttaa hetkellisen tunneliosoitteen joksikin, jonka palomuuri voi sovittaa nimen perusteella, ja merkintä katoaa istunnon päättyessä. Tili perii silloin laajuuden profiilistaan eikä säännöstä, joka kovakoodaa osoitteen.

Luo profiili ensin ja sido sitten secret siihen nimenomaisesti. Secret, joka osoittaa yhä oletusprofiiliin, toisintaa alkuperäisen ongelman.

Nimeä profiili ja luettelo niin, että niiden tehtävät ovat ilmeisiä, ja kommentoi molemmat pyynnön viitteellä. Yksi profiili voi palvella useita ihmisiä samalla laajuudella, kun luettelo edelleen yksilöi jokaisen elävän istunnon. Se on halvempi tarkistaa kuin sääntö henkilöä kohden.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Kirjaa sallittu palvelu yhteen luetteloon

Laita sallittu palvelin omaan osoiteluetteloonsa sen sijaan, että upottaisit osoitteen suodatinsääntöön. Luettelo voidaan auditoida, laajentaa ja kommentoida, eikä sitä käyttävä sääntö muutu, kun palvelin siirtyy. Yksi merkintä näyttää liioittelulta, kunnes toinen isäntä saapuu, mitä yleensä tapahtuu.

Sovita luetteloa, kun osoite on dynaaminen tai kuormantasattu, ja sovita osoitetta suoraan, kun se on varattu ja vakaa. Kumpi tahansa valinta luetaan selkeästi, jos kommentti nimeää palvelun ja omistajan.

Rajaa protokolla ja portti sekä isäntä. Accept isännälle ilman porttirajoitusta avaa jokaisen palvelun, jota isäntä ajaa, mikä on laajempi kuin useimmat käyttöoikeuspyynnöt tarkoittavat. Portti on osa käyttöoikeutta, ei myöhemmin lisättävä yksityiskohta.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Järjestä hyppy ennen jokaista laajaa acceptia

Hyppysääntö lähettää edelleen välitetyn liikenteen rajatusta luettelosta yksityiseen ketjuun, johon koko käytäntö mahtuu kolmelle riville. Ensimmäinen sääntö hyväksyy sallitun kohteen ja portin, ja viimeinen pudottaa kaiken muun. Hypyn on oltava forwardissa minkä tahansa laajan acceptin yläpuolella, koska aikaisempi accept tarkoittaa, ettei hyppy koskaan suoritu. Pidä established- ja related-accept ennen hyppyä, jotta paluuliikenne virtaa edelleen.

Tarkista, ettei mikään fasttrack-sääntö voi viedä tätä liikennettä rajatun ketjun ohi. Fasttrack ohittaa muun suodatinpolun, eikä fasttrackattu rajattu istunto ole lainkaan rajattu.

Toista päätös input-ketjulle, jos reitittimen omat palvelut on tarkoitus pitää saavuttamattomina. Laajuus, joka estää edelleen välitetyn liikenteen ja jättää winboxin auki, on vain puoliksi valmis.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Varmista laskureilla ja luettelon jäsenyydellä

Testaa asiakkaasta sallittu palvelu ja yksi, jonka on epäonnistuttava, ja lue sitten sääntötilastot reitittimeltä. Accept- ja drop-laskurit näyttävät, minkä polun kukin paketti otti, mitä asiakas ei näe. Vahvista myös, että elävän istunnon osoite ilmestyi rajattuun luetteloon.

Tyhjä luettelo tarkoittaa, että tili on toisella profiililla tai profiili menetti osoiteluetteloasetuksensa. Nouseva drop-laskuri epäonnistuvan sallitun palvelun kanssa tarkoittaa, että kohde tai portti ei vastaa sitä, mitä asiakas lähettää.

Testaa sama palvelu nimellä ja osoitteella ennen kuin päättelet mitään. Nimen selvityksen epäonnistuminen näyttää asiakkaan puolelta täsmälleen estetyltä portilta. Kirjaa sitten profiili, molemmat luettelot ja ainoa sallittu palvelu käyttöoikeuspyyntöön, jotta seuraava katsaus vertaa sen sijaan, että rakentaisi uudelleen.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients