MikroTik VPN ಬಳಕೆದಾರರು ತುಂಬಾ ದೂರ ತಲುಪುತ್ತಾರೆ: ಒಂದು ಹೋಸ್ಟ್ ಮತ್ತು ಒಂದು ಪೋರ್ಟ್ಗೆ ಸೀಮಿತಗೊಳಿಸಿ

ಸುರಂಗ ಮೇಲೇರುತ್ತದೆ, ಲಾಗಿನ್ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಮತ್ತು ನೆಟ್ವರ್ಕ್ನ ಪ್ರತಿ ಹೋಸ್ಟ್ ಉತ್ತರಿಸುತ್ತದೆ. ಇದು ಮುರಿದ VPN ಅಲ್ಲ; ಇದು ಅನುಮತಿ ಮಾದರಿ ಇಲ್ಲದ VPN. RouterOS ಖಾತೆಯನ್ನು ದೃಢೀಕರಿಸಿ ನಂತರ ಅದರ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಬೇರೆ ಎಲ್ಲರಂತೆ ಮಾರ್ಗನಿರ್ದೇಶಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಮಿತಿಯನ್ನು ಫೈರ್ವಾಲ್ ಒದಗಿಸಬೇಕು. ಲಾಗಿನ್ ಮುರಿಯದೆ ಆ ಮಿತಿಯನ್ನು ಸೇರಿಸುವುದೇ ಇಡೀ ಕೆಲಸ.

ದೃಢೀಕರಣವು ಅನುಮತಿ ಪ್ರಾರಂಭವಾಗುವಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ

PPP ಸೆಷನ್ ಮೇಲೇರಿದ ನಂತರ ಕ್ಲೈಂಟ್ನ ಪ್ಯಾಕೆಟ್ಗಳು ಯಾವುದೇ ಇತರ ಇಂಟರ್ಫೇಸ್ನ ಸಂಚಾರದಂತೆ forward ಸರಪಳಿಗೆ ಪ್ರವೇಶಿಸುತ್ತವೆ. ರೌಟರ್ನ forward ನೀತಿ ಅನುಮತಿಸುವಂತಿದ್ದರೆ, ಸಲಹೆಗಾರರು ಲಾಗಿನ್ನಲ್ಲಿ ಆ ಅನುಮತಿಯನ್ನು ಪಡೆಯುತ್ತಾರೆ. ಖಾತೆಯು ಎಂದಿಗೂ ವ್ಯಾಪ್ತಿಯನ್ನು ಹೊತ್ತಿರಲಿಲ್ಲ, ಆದ್ದರಿಂದ ಖಾತೆಯಲ್ಲಿ ಬದಲಾಯಿಸಲು ಏನೂ ಇಲ್ಲ. ನಿಯಮಗಳ ಗುಂಪನ್ನು ಉದ್ಯೋಗಿಗಳಿಗಾಗಿ ಬರೆಯಲಾಗಿತ್ತು ಮತ್ತು ಹೊಸ ಸೆಷನ್ ಅದಕ್ಕೆ ಸೇರಿಕೊಂಡಿತು.

ಏನನ್ನಾದರೂ ಬರೆಯುವ ಮೊದಲು ವಿನಂತಿ ಯಾವ ಮಾರ್ಗಕ್ಕೆ ಸಂಬಂಧಿಸಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ರೌಟರ್ನ ಹಿಂದಿನ ಹೋಸ್ಟ್ಗಳಿಗೆ ಸಂಚಾರ forward ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆ, ಆದರೆ ರೌಟರ್ಗೆ ತಾನೇ, winbox ಮತ್ತು SSH ಸೇರಿದಂತೆ, ಸಂಚಾರ input ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆ. forward ಮಾತ್ರ ಆವರಿಸುವ ವ್ಯಾಪ್ತಿ ಸಾಧನವನ್ನು ಅದೇ ಕ್ಲೈಂಟ್ಗೆ ತೆರೆದಿಡುತ್ತದೆ.

ಎರಡೂ ಸರಪಳಿಗಳಿಗೂ ನಿರ್ಣಯ ಬೇಕು, ನಿರ್ಣಯ input ಅನ್ನು ಮುಚ್ಚಿಡುವುದಾದರೂ ಸಹ. ಆ ಆಯ್ಕೆ ಪ್ರವೇಶ ವಿನಂತಿಗೆ ಸೇರಿದ್ದು, ನಂತರದ ಯೋಚನೆಗೆ ಅಲ್ಲ.

ಸೆಷನ್ ಅನ್ನು ಹೆಸರಿಸಿದ ಪಟ್ಟಿಗೆ ಲಗತ್ತಿಸಿ

PPP ಪ್ರೊಫೈಲ್ ಸೆಷನ್ ಪ್ರಾರಂಭವಾದಾಗ ನೀಡುವ ವಿಳಾಸವನ್ನು ಹೆಸರಿಸಿದ ವಿಳಾಸ ಪಟ್ಟಿಗೆ ಹಾಕಬಹುದು. ಅದು ತಾತ್ಕಾಲಿಕ ಸುರಂಗ ವಿಳಾಸವನ್ನು ಫೈರ್ವಾಲ್ ಹೆಸರಿನಿಂದ ಹೊಂದಿಸಬಹುದಾದ ವಸ್ತುವಾಗಿಸುತ್ತದೆ, ಮತ್ತು ಸೆಷನ್ ಕೊನೆಗೊಂಡಾಗ ನಮೂದು ಮಾಯವಾಗುತ್ತದೆ. ನಂತರ ಖಾತೆಯು ವಿಳಾಸವನ್ನು ಕಠಿಣವಾಗಿ ಕೋಡ್ ಮಾಡುವ ನಿಯಮದಿಂದಲ್ಲ, ತನ್ನ ಪ್ರೊಫೈಲ್ನಿಂದ ವ್ಯಾಪ್ತಿಯನ್ನು ಪಡೆಯುತ್ತದೆ.

ಮೊದಲು ಪ್ರೊಫೈಲ್ ರಚಿಸಿ, ನಂತರ secret ಅನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಅದಕ್ಕೆ ಬಂಧಿಸಿ. ಡೀಫಾಲ್ಟ್ ಪ್ರೊಫೈಲ್ಗೆ ಇನ್ನೂ ತೋರಿಸುವ secret ಮೂಲ ಸಮಸ್ಯೆಯನ್ನು ಪುನರುತ್ಪಾದಿಸುತ್ತದೆ.

ಪ್ರೊಫೈಲ್ ಮತ್ತು ಪಟ್ಟಿಗೆ ಅವುಗಳ ಕೆಲಸಗಳು ಸ್ಪಷ್ಟವಾಗುವಂತೆ ಹೆಸರಿಡಿ, ಮತ್ತು ಎರಡಕ್ಕೂ ವಿನಂತಿಯ ಉಲ್ಲೇಖದೊಂದಿಗೆ ಟಿಪ್ಪಣಿ ಬರೆಯಿರಿ. ಒಂದು ಪ್ರೊಫೈಲ್ ಅದೇ ವ್ಯಾಪ್ತಿಯ ಹಲವರಿಗೆ ಸೇವೆ ಸಲ್ಲಿಸಬಹುದು, ಪಟ್ಟಿ ಇನ್ನೂ ಪ್ರತಿ ಜೀವಂತ ಸೆಷನ್ ಅನ್ನು ಗುರುತಿಸುತ್ತದೆ. ಪ್ರತಿ ವ್ಯಕ್ತಿಗೆ ಒಂದು ನಿಯಮಕ್ಕಿಂತ ಇದು ಪರಿಶೀಲನೆಗೆ ಅಗ್ಗ.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

ಅನುಮತಿಸಿದ ಸೇವೆಯನ್ನು ಒಂದು ಪಟ್ಟಿಯಲ್ಲಿ ದಾಖಲಿಸಿ

ಅನುಮತಿಸಿದ ಸರ್ವರ್ ಅನ್ನು ವಿಳಾಸವನ್ನು ಫಿಲ್ಟರ್ ನಿಯಮದಲ್ಲಿ ಹುದುಗಿಸುವ ಬದಲು ಅದರ ಸ್ವಂತ ವಿಳಾಸ ಪಟ್ಟಿಯಲ್ಲಿ ಇರಿಸಿ. ಪಟ್ಟಿಯನ್ನು ಲೆಕ್ಕಪರಿಶೋಧಿಸಬಹುದು, ವಿಸ್ತರಿಸಬಹುದು ಮತ್ತು ಟಿಪ್ಪಣಿ ಮಾಡಬಹುದು, ಮತ್ತು ಸರ್ವರ್ ಸ್ಥಳಾಂತರಗೊಂಡಾಗ ಅದನ್ನು ಬಳಸುವ ನಿಯಮ ಬದಲಾಗುವುದಿಲ್ಲ. ಒಂದೇ ನಮೂದು ಎರಡನೇ ಹೋಸ್ಟ್ ಬರುವವರೆಗೆ ಅತಿಯಾದಂತೆ ಕಾಣುತ್ತದೆ, ಅದು ಸಾಮಾನ್ಯವಾಗಿ ಬರುತ್ತದೆ.

ವಿಳಾಸ ಕ್ರಿಯಾತ್ಮಕ ಅಥವಾ ಲೋಡ್ ಸಮತೋಲಿತವಾಗಿದ್ದಾಗ ಪಟ್ಟಿಯನ್ನು ಹೊಂದಿಸಿ, ಮತ್ತು ಕಾಯ್ದಿರಿಸಿದ ಹಾಗೂ ಸ್ಥಿರವಾಗಿದ್ದಾಗ ವಿಳಾಸವನ್ನು ನೇರವಾಗಿ ಹೊಂದಿಸಿ. ಟಿಪ್ಪಣಿ ಸೇವೆ ಮತ್ತು ಮಾಲೀಕರನ್ನು ಹೆಸರಿಸಿದರೆ ಯಾವುದೇ ಆಯ್ಕೆಯೂ ಸ್ಪಷ್ಟವಾಗಿ ಓದುತ್ತದೆ.

ಹೋಸ್ಟ್ ಜೊತೆಗೆ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ಪೋರ್ಟ್ ಅನ್ನೂ ಸೀಮಿತಗೊಳಿಸಿ. ಪೋರ್ಟ್ ನಿರ್ಬಂಧವಿಲ್ಲದ ಹೋಸ್ಟ್ಗೆ accept ಆ ಹೋಸ್ಟ್ ನಿರ್ವಹಿಸುವ ಪ್ರತಿ ಸೇವೆಯನ್ನೂ ತೆರೆಯುತ್ತದೆ, ಇದು ಬಹುಪಾಲು ಪ್ರವೇಶ ವಿನಂತಿಗಳ ಉದ್ದೇಶಕ್ಕಿಂತ ವಿಶಾಲ. ಪೋರ್ಟ್ ಅನುಮತಿಯ ಭಾಗ, ನಂತರ ಸೇರಿಸುವ ವಿವರವಲ್ಲ.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

ಯಾವುದೇ ವಿಶಾಲ accept ಗಿಂತ ಮೊದಲು ಜಂಪ್ ಅನ್ನು ಕ್ರಮಗೊಳಿಸಿ

ಜಂಪ್ ನಿಯಮವು ಸೀಮಿತ ಪಟ್ಟಿಯಿಂದ ಮುಂದಕ್ಕೆ ರವಾನೆಯಾದ ಸಂಚಾರವನ್ನು ಇಡೀ ನೀತಿ ಮೂರು ಸಾಲುಗಳಲ್ಲಿ ಇಳಿಯುವ ಖಾಸಗಿ ಸರಪಳಿಗೆ ಕಳುಹಿಸುತ್ತದೆ. ಮೊದಲ ನಿಯಮ ಅನುಮತಿಸಿದ ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಪೋರ್ಟ್ ಅನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಕೊನೆಯ ನಿಯಮ ಉಳಿದೆಲ್ಲವನ್ನೂ ಬೀಳಿಸುತ್ತದೆ. ಜಂಪ್ forward ನಲ್ಲಿ ಯಾವುದೇ ವಿಶಾಲ accept ಗಿಂತ ಮೇಲಿರಬೇಕು, ಏಕೆಂದರೆ ಹಿಂದಿನ accept ಎಂದರೆ ಜಂಪ್ ಎಂದಿಗೂ ಚಲಿಸುವುದಿಲ್ಲ. ಮರಳು ಸಂಚಾರ ಹರಿಯಲು established ಮತ್ತು related accept ಅನ್ನು ಜಂಪ್ಗಿಂತ ಮೊದಲು ಇರಿಸಿ.

ಯಾವುದೇ fasttrack ನಿಯಮವು ಈ ಸಂಚಾರವನ್ನು ಸೀಮಿತ ಸರಪಳಿಯನ್ನು ದಾಟಿಸಿ ಕೊಂಡೊಯ್ಯಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದು ಪರಿಶೀಲಿಸಿ. Fasttrack ಫಿಲ್ಟರ್ ಮಾರ್ಗದ ಉಳಿದ ಭಾಗವನ್ನು ಬಳಸದೆ ಹೋಗುತ್ತದೆ, ಮತ್ತು fasttrack ಮಾಡಿದ ಸೀಮಿತ ಸೆಷನ್ ಸ್ವಲ್ಪವೂ ಸೀಮಿತವಲ್ಲ.

ರೌಟರ್ನ ಸ್ವಂತ ಸೇವೆಗಳು ತಲುಪಲಾಗದಂತಿರಬೇಕಿದ್ದರೆ input ಸರಪಳಿಗೆ ನಿರ್ಣಯವನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಮುಂದಕ್ಕೆ ರವಾನೆಯಾದ ಸಂಚಾರವನ್ನು ತಡೆದು winbox ತೆರೆದಿಡುವ ವ್ಯಾಪ್ತಿ ಅರ್ಧ ಮಾತ್ರ ಮುಗಿದಿದೆ.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

ಕೌಂಟರ್ಗಳು ಮತ್ತು ಪಟ್ಟಿ ಸದಸ್ಯತ್ವದಿಂದ ಪರಿಶೀಲಿಸಿ

ಕ್ಲೈಂಟ್ನಿಂದ ಅನುಮತಿಸಿದ ಸೇವೆ ಮತ್ತು ವಿಫಲವಾಗಬೇಕಾದ ಸೇವೆಯನ್ನು ಪರೀಕ್ಷಿಸಿ, ನಂತರ ರೌಟರ್ನಲ್ಲಿ ನಿಯಮ ಅಂಕಿಅಂಶಗಳನ್ನು ಓದಿ. accept ಮತ್ತು drop ಕೌಂಟರ್ಗಳು ಪ್ರತಿ ಪ್ಯಾಕೆಟ್ ಯಾವ ಮಾರ್ಗ ತೆಗೆದುಕೊಂಡಿತು ಎಂದು ತೋರಿಸುತ್ತವೆ, ಅದನ್ನು ಕ್ಲೈಂಟ್ ನೋಡಲಾಗದು. ಜೀವಂತ ಸೆಷನ್ನ ವಿಳಾಸ ಸೀಮಿತ ಪಟ್ಟಿಯಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡಿದೆ ಎಂದೂ ದೃಢೀಕರಿಸಿ.

ಖಾಲಿ ಪಟ್ಟಿ ಎಂದರೆ ಖಾತೆ ಬೇರೆ ಪ್ರೊಫೈಲ್ನಲ್ಲಿದೆ ಅಥವಾ ಪ್ರೊಫೈಲ್ ತನ್ನ ವಿಳಾಸ ಪಟ್ಟಿ ಸೆಟ್ಟಿಂಗ್ ಕಳೆದುಕೊಂಡಿದೆ. ಅನುಮತಿಸಿದ ಸೇವೆ ವಿಫಲವಾಗುತ್ತಿದ್ದಂತೆ ಏರುತ್ತಿರುವ drop ಕೌಂಟರ್ ಎಂದರೆ ಗಮ್ಯಸ್ಥಾನ ಅಥವಾ ಪೋರ್ಟ್ ಕ್ಲೈಂಟ್ ಕಳುಹಿಸುವುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುತ್ತಿಲ್ಲ.

ಏನನ್ನೂ ತೀರ್ಮಾನಿಸುವ ಮೊದಲು ಅದೇ ಸೇವೆಯನ್ನು ಹೆಸರಿನಿಂದ ಮತ್ತು ವಿಳಾಸದಿಂದ ಪರೀಕ್ಷಿಸಿ. ಹೆಸರು ವಿಭಜನೆ ವೈಫಲ್ಯವು ಕ್ಲೈಂಟ್ ಕಡೆಯಿಂದ ನಿರ್ಬಂಧಿತ ಪೋರ್ಟ್ನಂತೆಯೇ ಕಾಣುತ್ತದೆ. ನಂತರ ಪ್ರೊಫೈಲ್, ಎರಡೂ ಪಟ್ಟಿಗಳು ಮತ್ತು ಏಕೈಕ ಅನುಮತಿಸಿದ ಸೇವೆಯನ್ನು ಪ್ರವೇಶ ವಿನಂತಿಯಲ್ಲಿ ದಾಖಲಿಸಿ, ಮುಂದಿನ ಪರಿಶೀಲನೆ ಪುನರ್ನಿರ್ಮಾಣದ ಬದಲು ಹೋಲಿಸಲಿ.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients