MikroTik VPN उपयोगकर्ता बहुत दूर तक पहुँचता है: एक होस्ट और एक पोर्ट तक सीमित करें

टनल ऊपर आता है, लॉगिन सफल होता है, और नेटवर्क का हर होस्ट जवाब देता है। यह टूटा हुआ VPN नहीं है; यह अनुमति-मॉडल के बिना VPN है। RouterOS खाते को प्रमाणित करता है और फिर उसके पैकेट किसी और की तरह रूट करता है, इसलिए सीमा फ़ायरवॉल को देनी होती है। लॉगिन तोड़े बिना वह सीमा जोड़ना ही पूरा काम है।

प्रमाणीकरण वहीं समाप्त होता है जहाँ अनुमति शुरू होती है

PPP सत्र ऊपर आते ही क्लाइंट के पैकेट किसी भी अन्य इंटरफ़ेस के ट्रैफ़िक की तरह forward श्रृंखला में प्रवेश करते हैं। यदि राउटर की forward नीति अनुमतिप्रद है, तो सलाहकार लॉगिन पर वही अनुमतिप्रदता विरासत में पाता है। खाते ने कभी कोई दायरा नहीं रखा, इसलिए खाते पर बदलने को कुछ नहीं है। नियम-समुच्चय कर्मचारियों के लिए लिखा गया था और नया सत्र बस उसमें शामिल हो गया।

कुछ भी लिखने से पहले जाँचें कि अनुरोध किस पथ का है। राउटर के पीछे के होस्ट तक ट्रैफ़िक forward से गुज़रता है, जबकि राउटर तक का ट्रैफ़िक, winbox और SSH सहित, input से गुज़रता है। केवल forward को कवर करने वाला दायरा डिवाइस को उसी क्लाइंट के लिए खुला छोड़ देता है।

दोनों श्रृंखलाओं को निर्णय चाहिए, भले ही निर्णय input को बंद रखना हो। वह चुनाव अभिगम अनुरोध का हिस्सा है, बाद के विचार का नहीं।

सत्र को नामित सूची से जोड़ें

एक PPP प्रोफ़ाइल सत्र शुरू होते समय जो पता देती है उसे नामित पता-सूची में रख सकती है। यह क्षणिक टनल पते को ऐसी चीज़ में बदल देता है जिसे फ़ायरवॉल नाम से मिला सकता है, और सत्र समाप्त होने पर प्रविष्टि गायब हो जाती है। फिर खाता अपने प्रोफ़ाइल से दायरा विरासत में लेता है, किसी ऐसे नियम से नहीं जो पता कठोरता से कोड करता हो।

पहले प्रोफ़ाइल बनाएँ, फिर secret को स्पष्ट रूप से उससे बाँधें। डिफ़ॉल्ट प्रोफ़ाइल की ओर इशारा करता secret मूल समस्या को फिर पैदा करता है।

प्रोफ़ाइल और सूची को ऐसा नाम दें कि उनके काम स्पष्ट हों, और दोनों को अनुरोध के संदर्भ के साथ टिप्पणी करें। एक प्रोफ़ाइल एक ही दायरे वाले कई लोगों की सेवा कर सकती है, जबकि सूची अब भी हर जीवित सत्र की पहचान करती है। हर व्यक्ति के लिए एक नियम की तुलना में यह समीक्षा में सस्ता है।

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

अनुमत सेवा को एक सूची में दर्ज करें

अनुमत सर्वर को फ़िल्टर नियम में पता एम्बेड करने के बजाय उसकी अपनी पता-सूची में रखें। सूची का ऑडिट, विस्तार और टिप्पणी की जा सकती है, और सर्वर के स्थानांतरित होने पर उसे उपयोग करने वाला नियम नहीं बदलता। एक ही प्रविष्टि अति लगती है जब तक दूसरा होस्ट न आए, जो प्रायः आता है।

पता गतिशील या लोड-संतुलित हो तो सूची मिलाएँ, और आरक्षित व स्थिर हो तो पता सीधे मिलाएँ। टिप्पणी सेवा और स्वामी का नाम ले तो दोनों में से कोई भी चुनाव स्पष्ट पढ़ा जाता है।

होस्ट के साथ-साथ प्रोटोकॉल और पोर्ट भी सीमित करें। पोर्ट प्रतिबंध के बिना होस्ट के लिए accept उस होस्ट की चलने वाली हर सेवा खोल देता है, जो अधिकांश अभिगम अनुरोधों के इरादे से व्यापक है। पोर्ट अनुमति का हिस्सा है, बाद में जोड़ी जाने वाली ब्यौरा नहीं।

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

किसी भी व्यापक accept से पहले जंप को क्रम दें

जंप नियम सीमित सूची से अग्रेषित ट्रैफ़िक को एक निजी श्रृंखला में भेजता है जहाँ पूरी नीति तीन पंक्तियों में आ जाती है। पहला नियम अनुमत गंतव्य और पोर्ट स्वीकार करता है, और अंतिम नियम बाकी सब गिरा देता है। जंप को forward में किसी भी व्यापक accept के ऊपर होना चाहिए, क्योंकि पहले का accept अर्थ है कि जंप कभी नहीं चलता। established और related के लिए accept को जंप से पहले रखें ताकि वापसी ट्रैफ़िक बहता रहे।

जाँचें कि कोई fasttrack नियम इस ट्रैफ़िक को सीमित श्रृंखला से आगे नहीं ले जा सकता। Fasttrack फ़िल्टर पथ के बाकी हिस्से को बायपास करता है, और fasttrack किया गया सीमित सत्र बिल्कुल भी सीमित नहीं है।

यदि राउटर की अपनी सेवाएँ अगम्य होनी चाहिए तो input श्रृंखला के लिए निर्णय दोहराएँ। अग्रेषित ट्रैफ़िक रोककर winbox खुला छोड़ने वाला दायरा आधा ही पूरा है।

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

काउंटर और सूची-सदस्यता से सत्यापित करें

क्लाइंट से अनुमत सेवा और एक ऐसी सेवा जाँचें जो विफल होनी चाहिए, फिर राउटर पर नियम आँकड़े पढ़ें। accept और drop काउंटर दिखाते हैं कि हर पैकेट ने कौन-सा पथ लिया, जो क्लाइंट नहीं देख सकता। यह भी पुष्टि करें कि जीवित सत्र का पता सीमित सूची में दिखाई दिया।

खाली सूची का अर्थ है कि खाता किसी दूसरी प्रोफ़ाइल पर है या प्रोफ़ाइल ने अपनी पता-सूची सेटिंग खो दी है। अनुमत सेवा विफल होते हुए बढ़ता drop काउंटर का अर्थ है कि गंतव्य या पोर्ट वह नहीं है जो क्लाइंट भेजता है।

कोई निष्कर्ष निकालने से पहले उसी सेवा को नाम से और पते से जाँचें। नाम-विश्लेषण विफलता क्लाइंट की ओर से अवरुद्ध पोर्ट जैसी ही दिखती है। फिर प्रोफ़ाइल, दोनों सूचियाँ और एकमात्र अनुमत सेवा अभिगम अनुरोध में दर्ज करें ताकि अगली समीक्षा पुनर्निर्माण के बजाय तुलना करे।

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients