MikroTik VPN пайдаланушысы тым алысқа жетеді: бір хост пен бір портпен шектеңіз

Туннель көтеріледі, кіру сәтті болады және желідегі әрбір хост жауап береді. Бұл сынған VPN емес; бұл рұқсат моделі жоқ VPN. RouterOS тіркелгіні аутентификациялайды, содан кейін оның пакеттерін басқалардікіндей маршруттайды, сондықтан шектеуді брандмауэр беруі керек. Кіруді бұзбай сол шектеуді қосу — бүкіл жұмыс.

Аутентификация рұқсат басталатын жерде аяқталады

PPP сессиясы көтерілгеннен кейін клиент пакеттері кез келген басқа интерфейстің трафигі сияқты forward шынжырына кіреді. Егер маршрутизатордың forward саясаты рұқсат етуші болса, кеңесші кіру кезінде сол рұқсатты мұралайды. Тіркелгі ешқашан ауқым тасымаған, сондықтан тіркелгіде өзгертетін ештеңе жоқ. Ережелер жиынтығы қызметкерлерге арналып жазылған және жаңа сессия оған жай ғана қосылды.

Бірдеңе жазбас бұрын сұраныстың қай жолға қатысты екенін тексеріңіз. Маршрутизатордың артындағы хосттарға трафик forward арқылы өтеді, ал маршрутизатордың өзіне, оның ішінде winbox пен SSH, трафик input арқылы өтеді. Тек forward-ты қамтитын ауқым құрылғыны сол клиентке ашық қалдырады.

Екі шынжыр да шешімді қажет етеді, тіпті шешім input-ты жабық ұстау болса да. Бұл таңдау қатынас сұранысына тиесілі, кейінгі ойға емес.

Сессияны атаулы тізімге тіркеңіз

PPP профилі сессия басталғанда беретін мекенжайды атаулы мекенжайлар тізіміне сала алады. Бұл өтпелі туннель мекенжайын брандмауэр атауы бойынша сәйкестендіре алатын нәрсеге айналдырады, ал жазба сессия аяқталғанда жоғалады. Содан кейін тіркелгі ауқымды мекенжайды қатаң кодтайтын ережеден емес, өз профилінен мұралайды.

Алдымен профиль жасаңыз, содан кейін secret-ті оған анық тіркеңіз. Әдепкі профильге әлі сілтейтін secret бастапқы мәселені қайталайды.

Профиль мен тізімді олардың міндеттері айқын болатындай атаңыз және екеуіне де сұраныс сілтемесімен түсініктеме қосыңыз. Бір профиль бірдей ауқыммен бірнеше адамға қызмет ете алады, ал тізім әр тірі сессияны әлі де анықтайды. Бұл әр адамға бір ережеден гөрі қарап шығуға арзан.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Рұқсат етілген қызметті бір тізімге жазыңыз

Рұқсат етілген серверді мекенжайды сүзгі ережесіне ендірудің орнына оның жеке мекенжайлар тізіміне қойыңыз. Тізімді тексеруге, кеңейтуге және түсініктеме қосуға болады, ал оны тұтынатын ереже сервер көшкенде өзгермейді. Бір жазба екінші хост келгенше артық көрінеді, ол әдетте келеді.

Мекенжай динамикалық немесе жүктеме бойынша бөлінген болса тізімді сәйкестендіріңіз, ал резервтелген және тұрақты болса мекенжайды тікелей сәйкестендіріңіз. Түсініктеме қызмет пен иесін атаса, екі таңдау да анық оқылады.

Хостпен қатар протокол мен портты да шектеңіз. Порт шектеусіз хостқа арналған accept сол хост іске қосатын әрбір қызметті ашады, бұл қатынас сұраныстарының көбісі ойлағанынан кеңірек. Порт рұқсаттың бөлігі, кейін қосылатын бөлшек емес.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Секіруді кез келген кең accept-тен бұрын орналастырыңыз

Секіру ережесі шектелген тізімнен қайта бағытталған трафикті бүкіл саясат үш жолға сыятын жеке шынжырға жібереді. Бірінші ереже рұқсат етілген межелі мен портты қабылдайды, ал соңғы ереже қалғанын тастайды. Секіру forward-тағы кез келген кең accept-тен жоғары тұруы керек, өйткені бұрынырақ accept секірудің ешқашан орындалмауын білдіреді. Қайту трафигі ағып тұруы үшін established және related accept-ті секіруге дейін ұстаңыз.

Ешбір fasttrack ережесі бұл трафикті шектелген шынжырдан айналып өткізе алмайтынын тексеріңіз. Fasttrack сүзгі жолының қалғанын айналып өтеді, ал fasttrack жасалған шектелген сессия мүлдем шектелмеген.

Маршрутизатордың өз қызметтері қолжетімсіз болуы керек болса, шешімді input шынжыры үшін қайталаңыз. Қайта бағытталған трафикті блоктап, winbox-ты ашық қалдыратын ауқым жартылай ғана дайын.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Санауыштармен және тізім мүшелігімен тексеріңіз

Клиенттен рұқсат етілген қызметті және сәтсіз болуы тиіс қызметті сынап көріңіз, содан кейін маршрутизатордағы ереже статистикасын оқыңыз. accept және drop санауыштары әр пакеттің қай жолмен жүргенін көрсетеді, оны клиент көре алмайды. Тірі сессия мекенжайының шектелген тізімде пайда болғанын да растаңыз.

Бос тізім тіркелгінің басқа профильде екенін немесе профильдің мекенжайлар тізімі параметрін жоғалтқанын білдіреді. Рұқсат етілген қызмет сәтсіз болғанда өсіп жатқан drop санауышы межелі немесе порт клиент жібергенге сәйкес келмейтінін білдіреді.

Қорытынды жасамас бұрын сол қызметті аты бойынша да, мекенжайы бойынша да сынаңыз. Атауды шешу сәтсіздігі клиент жағынан блокталған портқа дәл ұқсайды. Содан кейін профильді, екі тізімді және жалғыз рұқсат етілген қызметті қатынас сұранысына жазыңыз, сонда келесі шолу қайта құрудың орнына салыстырады.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients