MikroTik VPN-brûker berikt te folle: behein ta ien host en ien poarte

De tunnel komt op, de oanmelding slagget, en elke host op it netwurk antwurdet. Dat is gjin stikken VPN; it is in VPN sûnder tastimmingsmodel. RouterOS autentisearret it akkount en rûtelet dêrnei syn pakketten lykas dy fan elkenien, dus de firewall moat de grins leverje. Dy grins tafoegje sûnder de oanmelding te brekken is it hiele wurk.

Autentikaasje einiget wêr't tastimming begjint

Sadree't in PPP-sesje op is, komme pakketten fan 'e klant yn 'e forward-keten lykas ferkear fan elk oar ynterface. As it forward-belied fan 'e router tawittich is, erft de konsultant dy tawittigens by oanmelding. It akkount droech nea in omfang, dus der is neat op it akkount om te feroarjen. De regelset waard foar meiwurkers skreaun en de nije sesje foege him der gewoan by.

Kontrolearje oer hokker paad it fersyk giet ear't jo eat skriuwe. Ferkear nei hosts efter de router krúst forward, wylst ferkear nei de router sels, ynklusyf winbox en SSH, input krúst. In omfang dat allinnich forward dekt, lit it apparaat iepen foar deselde klant.

Beide ketens hawwe in beslút nedich, sels as it beslút is input ticht te litten. Dy kar heart by it tagongsfersyk, net by in letter gedachte.

Keppelje de sesje oan in neamde list

In PPP-profyl kin it adres dat it jout by de start fan de sesje yn in neamde adreslist pleatse. Dat makket fan in foarbygeand tunneladres eat dat de firewall by namme matsette kin, en de yngong ferdwynt as de sesje einiget. It akkount erft dan it omfang fan syn profyl ynstee fan fan in regel dy't in adres hurd kodearret.

Meitsje earst it profyl oan en byn dan it secret eksplisyt dêroan. In secret dat noch nei it standertprofyl wiist, reprodusearret it oarspronklike probleem.

Neam it profyl en de list sa dat har taken dúdlik binne, en kommentaarje beide mei de ferwizing fan it fersyk. Ien profyl kin ferskate minsken mei itselde omfang betsjinje, wylst de list noch elke libbene sesje identifisearret. Dat is goedkeaper te besjen as in regel per persoan.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Registrearje de tastiene tsjinst yn ien list

Set de tastiene tsjinner yn syn eigen adreslist ynstee fan it adres yn in filterregel te ferwurkjen. De list kin auditearre, útwreide en kommentearre wurde, en de regel dy't him brûkt feroaret net as de tsjinner ferhuzet. Ien yngong liket oerdreaun oant de twadde host komt, wat meastentiids bart.

Matset in list as it adres dynamysk of lêstferdield is, en matset it adres direkt as it reservearre en stabyl is. Elke kar lêst dúdlik as de kommentaar de tsjinst en de eigner neamt.

Behein it protokol en de poarte likegoed as de host. In accept foar in host sûnder poartebeperking iepenet elke tsjinst dy't dy host draait, wat breder is as de measte tagongsfersiken bedoele. De poarte is diel fan 'e tastimming, net in detail dat letter tafoege wurdt.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Orderje de sprong foar elke brede accept

In springregel stjoert trochstjoerd ferkear fan 'e beheinde list nei in privee keten wêr't it hiele belied yn trije rigels past. De earste regel akseptearret de tastiene bestimming en poarte, en de lêste regel smyt al it oare fuort. De sprong moat boppe elke brede accept yn forward stean, want in eardere accept betsjut dat de sprong nea útfiere. Hâld de accept foar established en related foar de sprong, sadat weromferkear noch streamt.

Kontrolearje dat gjin fasttrack-regel dit ferkear by de beheinde keten lâns bringe kin. Fasttrack giet de rest fan it filterpaad foarby, en in beheinde sesje dy't fasttracked wurdt is hielendal net beheind.

Werhelje it beslút foar de input-keten as de eigen tsjinsten fan 'e router ûnberikber wêze moatte. In omfang dat trochstjoerd ferkear blokkearret en winbox iepen lit is mar heal dien.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Ferifiearje mei tellers en listlidmaatskip

Test fan 'e klant de tastiene tsjinst en ien dy't mislearje moat, en lês dan de regelstatistyk op 'e router. De accept- en drop-tellers litte sjen hokker paad elk pakket naam, wat de klant net sjen kin. Befêstigje ek dat it adres fan 'e libbene sesje yn 'e beheinde list ferskynde.

In lege list betsjut dat it akkount op in oar profyl is of dat it profyl syn adreslist-ynstelling ferlern hat. In klimmende drop-teller mei in mislearjende tastiene tsjinst betsjut dat de bestimming of poarte net oerienkomt mei wat de klant stjoert.

Test deselde tsjinst by namme en by adres ear't jo eat konkludearje. In mislearring fan namme-oplossing liket krekt as in blokkearre poarte fan 'e klantkant. Registrearje dan it profyl, beide listen en de iene tastiene tsjinst yn it tagongsfersyk, sadat de folgjende beoardieling fergeliket ynstee fan weropbout.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients