MikroTik VPN વપરાશકર્તા ખૂબ દૂર પહોંચે છે: એક હોસ્ટ અને એક પોર્ટ સુધી મર્યાદિત કરો

ટનલ ઉપર આવે છે, લોગિન સફળ થાય છે, અને નેટવર્ક પરનું દરેક હોસ્ટ જવાબ આપે છે. આ તૂટેલી VPN નથી; આ પરવાનગી મોડેલ વિનાની VPN છે. RouterOS એકાઉન્ટની પ્રમાણિકતા ચકાસે છે અને પછી તેના પેકેટને બીજા કોઈની જેમ રૂટ કરે છે, તેથી ફાયરવોલે મર્યાદા પૂરી પાડવી પડે. લોગિન તોડ્યા વિના એ મર્યાદા ઉમેરવી એ આખું કામ છે.

પ્રમાણીકરણ ત્યાં સમાપ્ત થાય છે જ્યાં પરવાનગી શરૂ થાય છે

PPP સત્ર ઉપર આવે કે તરત જ ક્લાયન્ટના પેકેટ અન્ય કોઈપણ ઇન્ટરફેસના ટ્રાફિકની જેમ forward ચેઇનમાં પ્રવેશે છે. જો રાઉટરની forward નીતિ છૂટછાટવાળી હોય, તો સલાહકાર લોગિન વખતે એ છૂટછાટ વારસામાં મેળવે છે. એકાઉન્ટ ક્યારેય કોઈ વ્યાપ રાખતું ન હતું, તેથી એકાઉન્ટ પર બદલવા જેવું કંઈ નથી. નિયમોનો સમૂહ કર્મચારીઓ માટે લખાયો હતો અને નવું સત્ર તેમાં ખાલી જોડાઈ ગયું.

કંઈપણ લખતાં પહેલાં વિનંતી કયા માર્ગની છે તે તપાસો. રાઉટર પાછળના હોસ્ટ સુધીનો ટ્રાફિક forward પસાર થાય છે, જ્યારે રાઉટર પોતાની તરફનો ટ્રાફિક, winbox અને SSH સહિત, input પસાર થાય છે. ફક્ત forward આવરી લેતો વ્યાપ ઉપકરણને એ જ ક્લાયન્ટ માટે ખુલ્લું છોડે છે.

બંને ચેઇનને નિર્ણયની જરૂર છે, ભલે નિર્ણય input બંધ રાખવાનો હોય. એ પસંદગી એક્સેસ વિનંતીની છે, પાછળથી આવતા વિચારની નહીં.

સત્રને નામવાળી સૂચિ સાથે જોડો

PPP પ્રોફાઇલ સત્ર શરૂ થાય ત્યારે આપેલું સરનામું નામવાળી સરનામા સૂચિમાં મૂકી શકે છે. એ ક્ષણિક ટનલ સરનામાને એવી વસ્તુમાં ફેરવે છે જે ફાયરવોલ નામ દ્વારા મેળવી શકે, અને સત્ર પૂરું થાય ત્યારે એન્ટ્રી અદ્રશ્ય થાય છે. પછી એકાઉન્ટ પોતાના પ્રોફાઇલમાંથી વ્યાપ વારસામાં મેળવે છે, સરનામું સખત કોડ કરતા નિયમમાંથી નહીં.

પહેલાં પ્રોફાઇલ બનાવો, પછી secret સ્પષ્ટ રીતે તેની સાથે જોડો. ડિફૉલ્ટ પ્રોફાઇલ તરફ હજી સંકેત કરતું secret મૂળ સમસ્યા ફરી ઉત્પન્ન કરે છે.

પ્રોફાઇલ અને સૂચિને એવાં નામ આપો કે તેમનાં કામ સ્પષ્ટ થાય, અને બંનેને વિનંતીના સંદર્ભ સાથે ટિપ્પણી કરો. એક પ્રોફાઇલ એક જ વ્યાપ સાથે કેટલાયને સેવા આપી શકે, જ્યારે સૂચિ હજી દરેક જીવંત સત્રને ઓળખે છે. વ્યક્તિ દીઠ એક નિયમ કરતાં આ સમીક્ષા માટે સસ્તું છે.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

મંજૂર સેવાને એક સૂચિમાં નોંધો

મંજૂર સર્વરને ફિલ્ટર નિયમમાં સરનામું દાખલ કરવાને બદલે તેની પોતાની સરનામા સૂચિમાં મૂકો. સૂચિનું ઓડિટ, વિસ્તરણ અને ટિપ્પણી કરી શકાય છે, અને સર્વર ખસે ત્યારે તેનો ઉપયોગ કરતો નિયમ બદલાતો નથી. એક જ એન્ટ્રી વધારે લાગે ત્યાં સુધી બીજું હોસ્ટ ન આવે, જે સામાન્ય રીતે આવે છે.

સરનામું ગતિશીલ કે લોડ-સંતુલિત હોય ત્યારે સૂચિ મેળવો, અને અનામત અને સ્થિર હોય ત્યારે સરનામું સીધું મેળવો. ટિપ્પણી સેવા અને માલિકનું નામ લે તો બંને પસંદગી સ્પષ્ટ વંચાય છે.

હોસ્ટની સાથે પ્રોટોકોલ અને પોર્ટ પણ મર્યાદિત કરો. પોર્ટ પ્રતિબંધ વિનાના હોસ્ટ માટેનું accept એ હોસ્ટ ચલાવે છે તે દરેક સેવા ખોલે છે, જે મોટાભાગની એક્સેસ વિનંતીઓ ધારે છે તેનાથી વિશાળ છે. પોર્ટ પરવાનગીનો ભાગ છે, પછીથી ઉમેરવાની વિગત નહીં.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

કોઈપણ વિશાળ accept પહેલાં જમ્પ ગોઠવો

જમ્પ નિયમ વ્યાપવાળી સૂચિમાંથી ફોરવર્ડ થયેલો ટ્રાફિક ખાનગી ચેઇનમાં મોકલે છે જ્યાં આખી નીતિ ત્રણ લીટીમાં આવી જાય છે. પહેલો નિયમ મંજૂર ગંતવ્ય અને પોર્ટ સ્વીકારે છે, અને છેલ્લો નિયમ બાકીનું બધું કાઢી નાખે છે. જમ્પ forward માં કોઈપણ વિશાળ accept ઉપર હોવો જોઈએ, કારણ કે પહેલાંનું accept એટલે જમ્પ ક્યારેય ચાલતું નથી. પરત ટ્રાફિક વહેતો રહે તે માટે established અને related માટેનું accept જમ્પ પહેલાં રાખો.

તપાસો કે કોઈ fasttrack નિયમ આ ટ્રાફિકને વ્યાપવાળી ચેઇનથી પર લઈ જઈ શકતો નથી. Fasttrack ફિલ્ટર માર્ગનો બાકીનો ભાગ ટાળે છે, અને fasttrack થયેલું વ્યાપવાળું સત્ર જરાય વ્યાપવાળું નથી.

જો રાઉટરની પોતાની સેવાઓ અપ્રાપ્ય રહેવી જોઈએ તો input ચેઇન માટે નિર્ણય પુનરાવર્તિત કરો. ફોરવર્ડ ટ્રાફિક અવરોધે અને winbox ખુલ્લું રાખે તેવો વ્યાપ અડધોઅડધ કરેલો છે.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

કાઉન્ટર અને સૂચિ-સભ્યપદ સાથે ચકાસો

ક્લાયન્ટથી મંજૂર સેવા અને નિષ્ફળ થવી જોઈએ તેવી એક સેવા ચકાસો, પછી રાઉટર પર નિયમોની આંકડાકીય માહિતી વાંચો. accept અને drop કાઉન્ટર દર્શાવે છે કે દરેક પેકેટ કયો માર્ગ લીધો, જે ક્લાયન્ટ જોઈ શકતું નથી. જીવંત સત્રનું સરનામું વ્યાપવાળી સૂચિમાં દેખાયું તે પણ પુષ્ટિ કરો.

ખાલી સૂચિ એટલે એકાઉન્ટ બીજા પ્રોફાઇલ પર છે અથવા પ્રોફાઇલે તેનું સરનામા-સૂચિ સેટિંગ ગુમાવ્યું છે. મંજૂર સેવા નિષ્ફળ થતી હોય અને drop કાઉન્ટર વધતું હોય તો એટલે ગંતવ્ય કે પોર્ટ ક્લાયન્ટ મોકલે છે તેની સાથે મેળ ખાતું નથી.

કોઈ નિષ્કર્ષ પર આવતાં પહેલાં એ જ સેવા નામ દ્વારા અને સરનામા દ્વારા ચકાસો. નામ રિઝોલ્યુશન નિષ્ફળતા ક્લાયન્ટની બાજુથી અવરોધિત પોર્ટ જેવી જ દેખાય છે. પછી પ્રોફાઇલ, બંને સૂચિ અને એકમાત્ર મંજૂર સેવા એક્સેસ વિનંતીમાં નોંધો જેથી આગળની સમીક્ષા ફરી બનાવવાને બદલે સરખાવે.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients