A MikroTik VPN felhasználó túl messzire ér: korlátozza egy hosztra és egy portra

Az alagút feljön, a bejelentkezés sikerül, és a hálózat minden hosztja válaszol. Ez nem elromlott VPN; ez engedélymodell nélküli VPN. A RouterOS hitelesíti a fiókot, majd úgy irányítja a csomagjait, mint bárkiét, ezért a tűzfalnak kell adnia a korlátot. Ennek a korlátnak a hozzáadása a bejelentkezés törése nélkül az egész munka.

A hitelesítés ott ér véget, ahol az engedély elkezdődik

Amint egy PPP-munkamenet feláll, az ügyfél csomagjai úgy lépnek be a forward láncba, mint bármely más interfész forgalma. Ha a router forward-szabályzata megengedő, a tanácsadó bejelentkezéskor örökli ezt a megengedést. A fiók soha nem hordozott hatókört, így nincs mit változtatni rajta. A szabálykészletet alkalmazottaknak írták, és az új munkamenet egyszerűen csatlakozott hozzá.

Ellenőrizze, melyik útvonalról szól a kérés, mielőtt bármit ír. A router mögötti hosztok felé irányuló forgalom a forwardon halad át, míg a router felé irányuló forgalom, beleértve a winboxot és az SSH-t, az inputon halad át. A csak forwardot lefedő hatókör nyitva hagyja az eszközt ugyanazon ügyfél előtt.

Mindkét láncnak döntésre van szüksége, még akkor is, ha a döntés az, hogy az input zárva marad. Ez a választás a hozzáférési kéréshez tartozik, nem egy utólagos gondolathoz.

Kapcsolja a munkamenetet egy nevesített listához

Egy PPP-profil a munkamenet indulásakor beleteheti a kiosztott címet egy nevesített címlistába. Ez átmeneti alagútcímet tesz olyanná, amit a tűzfal név szerint párosíthat, és a bejegyzés eltűnik a munkamenet végén. A fiók ezután a profiljától örökli a hatókört, nem egy szabálytól, amely keményen kódolja a címet.

Először hozza létre a profilt, majd kösse hozzá a secretet kifejezetten. Az alapértelmezett profilra mutató secret újra előállítja az eredeti problémát.

Nevezze el a profilt és a listát úgy, hogy a feladatuk nyilvánvaló legyen, és mindkettőt lássa el a kérés hivatkozásával. Egy profil több embert szolgálhat ki ugyanazzal a hatókörrel, miközben a lista továbbra is azonosít minden élő munkamenetet. Ez olcsóbb átnézni, mint személyenként egy szabályt.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Rögzítse az engedélyezett szolgáltatást egy listában

Tegye az engedélyezett kiszolgálót a saját címlistájára, ahelyett hogy a címet egy szűrőszabályba ágyazná. A lista auditálható, bővíthető és kommentelhető, és az őt használó szabály nem változik, amikor a kiszolgáló átkerül. Egyetlen bejegyzés túlzásnak tűnik addig, amíg megérkezik a második hoszt, ami általában meg szokott.

Listát párosítson, ha a cím dinamikus vagy terheléselosztott, és a címet közvetlenül párosítsa, ha fenntartott és stabil. Bármelyik választás tisztán olvasható, ha a megjegyzés megnevezi a szolgáltatást és a tulajdonost.

Korlátozza a protokollt és a portot is, nem csak a hosztot. A portkorlátozás nélküli hosztra adott accept minden szolgáltatást megnyit, amit az a hoszt futtat, ami szélesebb, mint amit a legtöbb hozzáférési kérés szán. A port az engedély része, nem később hozzáadandó részlet.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

A jumpot minden széles accept elé helyezze

A jump-szabály a korlátozott listáról érkező továbbított forgalmat egy privát láncba küldi, ahol a teljes szabályzat három sorba fér. Az első szabály elfogadja az engedélyezett célt és portot, az utolsó pedig eldob minden mást. A jumpnak a forward bármely széles acceptje felett kell állnia, mert egy korábbi accept azt jelenti, hogy a jump soha nem fut le. Tartsa az established és related acceptet a jump előtt, hogy a visszatérő forgalom továbbra is folyjon.

Ellenőrizze, hogy egyetlen fasttrack-szabály sem viheti ezt a forgalmat a korlátozott lánc mellett el. A fasttrack megkerüli a szűrőút többi részét, és a fasttrackelt korlátozott munkamenet egyáltalán nem korlátozott.

Ismételje meg a döntést az input láncra, ha a router saját szolgáltatásainak elérhetetlennek kell lenniük. A továbbított forgalmat blokkoló és a winboxot nyitva hagyó hatókör csak félig kész.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Ellenőrizze számlálókkal és listatagsággal

Az ügyféltől tesztelje az engedélyezett szolgáltatást és egy olyat, amelynek meg kell buknia, majd olvassa le a szabálystatisztikákat a routeren. Az accept és drop számlálók megmutatják, melyik úton ment minden csomag, amit az ügyfél nem láthat. Erősítse meg azt is, hogy az élő munkamenet címe megjelent a korlátozott listán.

Az üres lista azt jelenti, hogy a fiók másik profilon van, vagy a profil elvesztette a címlista-beállítását. A növekvő drop-számláló egy megbukó engedélyezett szolgáltatás mellett azt jelenti, hogy a cél vagy a port nem egyezik azzal, amit az ügyfél küld.

Ugyanazt a szolgáltatást tesztelje név szerint és cím szerint, mielőtt bármit megállapít. A névfeloldási hiba az ügyfél oldaláról pontosan úgy néz ki, mint egy blokkolt port. Ezután rögzítse a profilt, mindkét listát és az egyetlen engedélyezett szolgáltatást a hozzáférési kérésben, hogy a következő átvizsgálás összehasonlítson, ne újraépítsen.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients