MikroTik VPN notandi nær of langt: takmarkaðu við einn hýsil og eina gátt

Tunnillinn kemur upp, innskráningin heppnast og hver hýsill á netinu svarar. Þetta er ekki biluð VPN; þetta er VPN án heimildalíkans. RouterOS sannvottar reikninginn og beinir svo pökkunum hans eins og pökkum hvers annars, svo eldveggurinn verður að veita mörkin. Að bæta þessum mörkum við án þess að brjóta innskráninguna er allt verkið.

Sannvottun endar þar sem heimildin byrjar

Þegar PPP lota er komin upp fara pakkar biðlarans inn í forward keðjuna eins og umferð frá hvaða tengi sem er. Ef forward stefna beinisins er eftirlát, erfir ráðgjafinn þá eftirlátsemi við innskráningu. Reikningurinn bar aldrei umfang, svo ekkert er á reikningnum að breyta. Reglurnar voru skrifaðar fyrir starfsmenn og nýja lotan gekk einfaldlega inn í þær.

Athugaðu hvaða leið beiðnin snýr að áður en þú skrifar eitthvað. Umferð til hýsla bak við beininn fer í gegnum forward, en umferð til beinisins sjálfs, þar á meðal winbox og SSH, fer í gegnum input. Umfang sem nær aðeins yfir forward lætur tækið opið fyrir sama biðlara.

Báðar keðjurnar þurfa ákvörðun, jafnvel þótt ákvörðunin sé að láta input vera lokað. Það val tilheyrir aðgangsbeiðninni, ekki eftirhugsaðri hugmynd.

Tengdu lotuna við nefndan lista

PPP snið getur sett heimilisfangið sem það úthlutar í nefndan heimilisfangalista þegar lotan hefst. Það breytir skammvinnu tunnel-heimilisfangi í eitthvað sem eldveggurinn getur stemmt af eftir nafni, og færslan hverfur þegar lotunni lýkur. Reikningurinn erfir þá umfangið frá sniðinu sínu í stað reglu sem harðkóðar heimilisfang.

Búðu fyrst til sniðið og tengdu svo secret við það skýrum hætti. Secret sem bendir enn á sjálfgefna sniðið endurtekur upphaflega vandamálið.

Nefndu sniðið og listann þannig að verk þeirra séu augljós og settu athugasemd við bæði með tilvísun beiðninnar. Eitt snið getur þjónað nokkrum einstaklingum með sama umfangi, á meðan listinn auðkennir enn hverja lifandi lotu. Það er ódýrara í yfirferð en regla fyrir hvern einstakling.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Skráðu leyfða þjónustuna á einn lista

Settu leyfða þjóninn á eigin heimilisfangalista í stað þess að fella heimilisfangið inn í síureglu. Listinn er hægt að endurskoða, stækka og setja athugasemd við, og reglan sem notar hann breytist ekki þegar þjónninn flyst. Ein færsla virðist of mikil þar til annar hýsill kemur, sem gerist venjulega.

Stemdu af lista þegar heimilisfangið er kvikt eða dreift á álag, og stemdu heimilisfangið beint af þegar það er frátekið og stöðugt. Hvort sem er lesst það skýrt ef athugasemdin nefnir þjónustuna og eigandann.

Takmarkaðu siðareglur og gáttina jafnt sem hýsilinn. Accept fyrir hýsil án gáttartakmörkunar opnar hverja þjónustu sem sá hýsill keyrir, sem er breiðara en flestar aðgangsbeiðnir ætla sér. Gáttin er hluti heimildarinnar, ekki smáatriði sem bætt er við síðar.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Raðaðu stökkinu fyrir hvaða breiða accept sem er

Stökkregla sendir framsendan umferð frá takmarkaða listanum inn í einkakeðju þar sem öll stefnan kemst fyrir á þremur línum. Fyrsta reglan samþykkir leyfða áfangastaðinn og gáttina, og síðasta reglan hendir öllu öðru. Stökkið verður að vera yfir hvaða breiða accept sem er í forward, því fyrri accept þýðir að stökkið keyrir aldrei. Haltu accept fyrir established og related á undan stökkinu svo endurkoma haldi áfram að streyma.

Athugaðu að engin fasttrack regla geti borið þessa umferð fram hjá takmarkaðri keðju. Fasttrack fer fram hjá restinni af síuleiðinni, og takmörkuð lota sem er fasttrackuð er alls ekki takmörkuð.

Endurtaktu ákvörðunina fyrir input keðjuna ef þjónustur beinisins sjálfs eiga að vera óaðgengilegar. Umfang sem lokar framsendri umferð og lætur winbox opið er aðeins hálfnað.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Staðfestu með teljurum og listaaðild

Frá biðlaranum, prófaðu leyfðu þjónustuna og eina sem verður að mistakast, lestu svo reglufræði beinisins. Accept og drop teljarar sýna hvaða leið hver pakki fór, sem biðlarinn getur ekki séð. Staðfestu líka að heimilisfang lifandi lotu hafi birst á takmarkaða listanum.

Tómur listi þýðir að reikningurinn er á öðru sniði eða að sniðið missti heimilisfangalistastillinguna. Hækkandi drop teljari með mistakast leyfða þjónustu þýðir að áfangastaðurinn eða gáttin passar ekki við það sem biðlarinn sendir.

Prófaðu sömu þjónustu eftir nafni og eftir heimilisfangi áður en þú ályktar eitthvað. Mistök í nafnaupplausn líta nákvæmlega út eins og lokuð gátt frá hlið biðlarans. Skráðu svo sniðið, báða listana og eina leyfða þjónustuna í aðgangsbeiðnina svo næsta yfirferð bera saman í stað þess að endurreisa.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients