MikroTik VPN колдонуучусу ашыкча алыска жетет: бир хост жана бир порт менен чектеңиз

Туннель көтөрүлөт, кирүү ийгиликтүү болот жана тармактагы ар бир хост жооп берет. Бул бузулган VPN эмес; бул уруксат модели жок VPN. RouterOS аккаунтту аутентификациялайт, анан анын пакеттерин башкалардыкы сыяктуу маршруттайт, ошондуктан чекти брандмауэр берүүгө тийиш. Кирүүнү бузбастан ошол чекти кошуу — бүт иш.

Аутентификация уруксат башталган жерде бүтөт

PPP сессиясы көтөрүлгөндөн кийин клиенттин пакеттери каалаган башка интерфейстин трафиги сыяктуу forward чынжырына кирет. Эгер маршрутизатордун forward саясаты уруксат берүүчү болсо, кеңешчи кирүү учурунда ошол уруксатты мураска алат. Аккаунт эч качан камтылманы алып жүргөн эмес, ошондуктан аккаунтта өзгөртө турган эч нерсе жок. Эрежелер жыйнагы кызматкерлер үчүн жазылган жана жаңы сессия ага жөн гана кошулду.

Бир нерсе жазганга чейин сурам кайсы жолго тиешелүү экенин текшериңиз. Маршрутизатордун артындагы хостторго трафик forward аркылуу өтөт, ал эми маршрутизатордун өзүнө, анын ичинде winbox жана SSH, трафик input аркылуу өтөт. Тек forwardды камтыган камтылма түзмөктү ошол эле клиентке ачык калтырат.

Эки чынжыр тең чечимди талап кылат, чечим inputды жабык кармоо болсо да. Бул тандоо кирүү сурамына таандык, кийинки ойго эмес.

Сессияны аталган тизмеге тиркеңиз

PPP профили сессия башталганда берген даректи аталган даректер тизмесине сала алат. Бул өтмө туннель дарегин брандмауэр аты боюнча дал келтире алган нерсеге айландырат, ал эми жазуу сессия бүткөндө жоголот. Анан аккаунт камтылманы даректи катуу коддогон эрежеден эмес, өз профилинен мураска алат.

Алгач профиль түзүңүз, анан secretти ага ачык түрдө байлаңыз. Демейки профилге дагы эле шилтеме кылган secret баштапкы көйгөйдү кайталайт.

Профиль менен тизмени алардын милдеттери айкын болотундай атап, экөөнө тең сурам шилтемеси менен комментарий кошуңуз. Бир профиль бирдей камтылма менен бир нече адамга кызмат кыла алат, ал эми тизме ар бир тирүү сессияны дагы эле аныктайт. Бул ар бир адамга бир эрежеден карап чыгууга арзан.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Уруксат берилген кызматты бир тизмеге жазыңыз

Уруксат берилген серверди даректи фильтр эрежесине киргизүүнүн ордуна өзүнүн жеке даректер тизмесине коюңуз. Тизмени текшерүүгө, кеңейтүүгө жана комментарий кошууга болот, ал эми аны колдонгон эреже сервер көчкөндө өзгөрбөйт. Бир жазуу экинчи хост келгенге чейин ашыкча көрүнөт, ал адатта келет.

Дарек динамикалык же жүктөм боюнча бөлүнгөн болсо тизмени дал келтириңиз, ал эми резервделген жана туруктуу болсо даректи түздөн-түз дал келтириңиз. Комментарий кызмат менен ээсин атаса, эки тандоо тең ачык окулат.

Хост менен катар протоколду жана портту да чектеңиз. Порт чектөөсүз хостко арналган accept ошол хост иштеткен ар бир кызматты ачат, бул кирүү сурамдарынын көбү ойлогондон кененирээк. Порт уруксаттын бөлүгү, кийин кошулуучу деталь эмес.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Секирүүнү каалаган кең acceptтен мурун жайгаштырыңыз

Секирүү эрежеси чектелген тизмеден өткөрүлгөн трафикти бүт саясат үч сапка баткан жеке чынжырга жиберет. Биринчи эреже уруксат берилген багыт менен портту кабыл алат, акыркы эреже калганын таштайт. Секирүү forwardдагы каалаган кең acceptтен жогору турууга тийиш, анткени мурунку accept секирүүнүн эч качан аткарылбашын билдирет. Кайтуу трафиги агып турушу үчүн established жана related acceptти секирүүгө чейин кармаңыз.

Эч бир fasttrack эрежеси бул трафикти чектелген чынжырдан айланып өткөрө албастыгын текшериңиз. Fasttrack фильтр жолунун калганын айланып өтөт, ал эми fasttrack жасалган чектелген сессия такыр чектелген эмес.

Маршрутизатордун өз кызматтары жеткиликсиз болушу керек болсо, чечимди input чынжыры үчүн кайталаңыз. Өткөрүлгөн трафикти тосуп, winboxты ачык калтырган камтылма жарым гана бүткөн.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Эсептегичтер жана тизме мүчөлүгү менен текшериңиз

Клиенттен уруксат берилген кызматты жана ийгиликсиз болушу керек кызматты сынап көрүңүз, анан маршрутизатордогу эреже статистикасын окуңуз. accept жана drop эсептегичтери ар бир пакеттин кайсы жол менен өткөнүн көрсөтөт, муну клиент көрө албайт. Тирүү сессиянын дареги чектелген тизмеде пайда болгонун да ырастаңыз.

Бош тизме аккаунттун башка профилде экенин же профилдин даректер тизмеси жөндөөсүн жоготконун билдирет. Уруксат берилген кызмат ийгиликсиз болуп жатканда өсүп жаткан drop эсептегичи багыт же порт клиент жибергенге дал келбестигин билдирет.

Корутунду чыгарганга чейин ошол эле кызматты аты боюнча да, дареги боюнча да сынаңыз. Атты чечүү ийгиликсиздиги клиент тараптан тосулган портко так окшош. Анан профилди, эки тизмени жана жалгыз уруксат берилген кызматты кирүү сурамына жазыңыз, кийинки кароо кайра куруунун ордуна салыштырсын.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients