Úsáideoir MikroTik VPN ag teacht ró-fhada: cuir teorainn le haon óstach agus aon phort amháin

Tagann an tollán aníos, éiríonn leis an logáil isteach, agus freagraíonn gach óstach ar an líonra. Ní VPN briste é sin; is VPN gan mhúnla ceada é. Déanann RouterOS an cuntas a fhíordheimhniú agus ansin a phaicéid a ródú mar a dhéanann sé le paicéid gach duine eile, mar sin caithfidh an balla dóiteáin an teorainn a sholáthar. Is é an obair ar fad an teorainn sin a chur leis gan an logáil isteach a bhriseadh.

Críochnaíonn fíordheimhniú san áit a dtosaíonn cead

Nuair a bhíonn seisiún PPP suas, téann paicéid an chliaint isteach sa slabhra forward ar nós tráchta ó aon chomhéadan eile. Má tá polasaí forward an ródaire ceadmhach, faigheann an comhairleoir an cheadmhachas sin le hoidhreacht ag logáil isteach. Níor iompair an cuntas scóip riamh, mar sin níl aon rud ar an gcuntas le hathrú. Scríobhadh an tsraith rialacha d'fhostaithe agus chuaigh an seisiún nua isteach inti gan níos mó.

Seiceáil cé acu cosán a bhaineann an t-iarratas leis sula scríobhann tú aon rud. Téann trácht chuig óstaigh taobh thiar den ródaire trí forward, agus téann trácht chuig an ródaire féin, lena n-áirítear winbox agus SSH, trí input. Fágann scóip nach gclúdaíonn ach forward an gléas oscailte don chliant céanna.

Tá cinneadh de dhíth ar an dá shlabhra, fiú más é an cinneadh input a fhágáil dúnta. Baineann an rogha sin leis an iarratas rochtana, ní le smaoineamh a thagann ina dhiaidh.

Ceangail an seisiún le liosta ainmnithe

Is féidir le próifíl PPP an seoladh a thugann sé a chur i liosta seoltaí ainmnithe nuair a thosaíonn an seisiún. Athraíonn sé sin seoladh tolláin neamhbhuan ina rud ar féidir leis an mballa dóiteáin é a mheaitseáil de réir ainm, agus imíonn an iontráil nuair a chríochnaíonn an seisiún. Faigheann an cuntas an scóip óna phróifíl ansin seachas ó riail a chódálann seoladh go crua.

Cruthaigh an phróifíl ar dtús, ansin ceangail an secret léi go sainráite. Atáirgeann secret atá fós ag pointeáil chuig an bpróifíl réamhshocraithe an bunfhadhb.

Ainmnigh an phróifíl agus an liosta ionas go mbeidh a gcuid oibre soiléir, agus déan trácht ar an dá rud le tagairt an iarratais. Is féidir le próifíl amháin freastal ar roinnt daoine leis an scóip chéanna, agus sainaithníonn an liosta gach seisiún beo fós. Tá sé sin níos saoire le hathbhreithniú ná riail in aghaidh an duine.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Taifead an tseirbhís cheadaithe i liosta amháin

Cuir an freastalaí ceadaithe ina liosta seoltaí féin seachas an seoladh a leabú i riail scagaire. Is féidir an liosta a iniúchadh, a leathnú agus trácht a dhéanamh air, agus ní athraíonn an riail a iditheann é nuair a bhogann an freastalaí. Breathnaíonn iontráil amháin iomarcach go dtí go dtagann an dara hóstach, rud a tharlaíonn de ghnáth.

Meaitseáil liosta nuair atá an seoladh dinimiciúil nó cothromaithe, agus meaitseáil an seoladh go díreach nuair atá sé curtha in áirithe agus cobhsaí. Léitear ceachtar rogha go soiléir má ainmníonn an trácht an tseirbhís agus an t-úinéir.

Cuir teorainn leis an bprótacal agus leis an bport chomh maith leis an óstach. Osclaíonn accept d'óstach gan srian port gach seirbhís a ritheann an t-óstach sin, rud atá níos leithne ná mar a bhíonn i gceist ag formhór na n-iarratas rochtana. Is cuid den chead é an port, ní sonra a chuirtear leis níos déanaí.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Ordaigh an léim roimh aon accept leathan

Seolann riail léime trácht a athsheoltar ón liosta scóipithe isteach i slabhra príobháideach ina n-oireann an pholasaí iomlán do thrí líne. Glacann an chéad riail leis an gceann scríbe agus leis an bport ceadaithe, agus caitheann an riail dheireanach gach aon rud eile. Caithfidh an léim a bheith os cionn aon accept leathan i forward, mar ciallaíonn accept níos luaithe nach ritheann an léim choíche. Coinnigh an accept do established agus related roimh an léim ionas go leanfaidh trácht fillte de bheith ag sreabhadh.

Seiceáil nach féidir le haon riail fasttrack an trácht seo a iompar thar an slabhra scóipithe. Seachnaíonn fasttrack an chuid eile den chonair scagtha, agus níl seisiún scóipithe a dhéantar fasttrack scóipithe ar chor ar bith.

Déan an cinneadh a athrá don slabhra input más rud é gur chóir seirbhísí an ródaire féin a bheith doshroichte. Níl ach leathchríochnaithe ag scóip a chuireann bac ar thrácht a athsheoltar agus a fhágann winbox oscailte.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Fíoraigh le hidirteoirí agus le ballraíocht liosta

Ón gcliaint, tástáil an tseirbhís cheadaithe agus ceann nach mór di teip, ansin léigh staitisticí rialacha ar an ródaire. Taispeánann na hidirteoirí accept agus drop cén cosán a thóg gach paicéad, rud nach féidir leis an gcliaint a fheiceáil. Deimhnigh freisin gur tháinig seoladh an tseisiúin bheo chun solais sa liosta scóipithe.

Ciallaíonn liosta folamh go bhfuil an cuntas ar phróifíl eile nó gur chaill an phróifíl a socrú liosta seoltaí. Ciallaíonn idirteoir drop atá ag dul suas le seirbhís cheadaithe ag teip nach n-oireann an ceann scríbe ná an port don rud a sheolann an cliant.

Tástáil an tseirbhís chéanna de réir ainm agus de réir seoladh sula gcríochnaíonn tú aon rud. Breathnaíonn teip réitithe ainmneacha go díreach cosúil le port blocáilte ó thaobh an chliaint. Ansin taifead an phróifíl, an dá liosta agus an t-aon tseirbhís cheadaithe san iarratas rochtana ionas go gcuirfidh an chéad athbhreithniú eile i gcomparáid seachas athchruthú.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients