MikroTik VPN-Benotzer erreecht ze vill: beschränkt op een Host an een Port

Den Tunnel kënnt erop, d'Aloggen geléngt, an all Host am Reseau äntwert. Dat ass kee kaputte VPN; dat ass e VPN ouni Berechtegungsmodell. RouterOS authentifizéiert de Kont an leet duerno seng Paketen ëm wéi déi vun aneren, dofir muss d'Firewall d'Limite liwweren. Dës Limit bäisetzen ouni d'Aloggen ze briechen ass déi ganz Aarbecht.

Authentifikatioun endet do, wou d'Berechtegung ufänkt

Soubal eng PPP-Sessioun steet, gi Pakete vum Client an d'forward-Kette wéi Traffic vun enger anerer Schnëttstell. Wann d'forward-Politik vum Router erlaabnesvoll ass, ierft de Beroder déi Erlaabnes beim Aloggen. De Kont huet ni en Ëmfang gedroen, dofir gëtt et um Kont näischt ze änneren. D'Reegelwierk gouf fir Mataarbechter geschriwwen an déi nei Sessioun huet sech einfach ugeschloss.

Kuckt no, ëm wéi en Wee et an der Ufro geet, ier Dir eppes schreift. Traffic zu Hoste hannert dem Router geet duerch forward, wärend Traffic zum Router selwer, abegraff winbox an SSH, duerch input geet. En Ëmfang, deen nëmmen forward deckt, léisst d'Apparat fir dee selwechte Client op.

Béid Kette brauchen eng Entscheedung, och wann d'Entscheedung ass, input zou ze loossen. Dee Choix gehéiert an d'Zougrëffsufro, net an e spéideren Gedanken.

Verbannt d'Sessioun mat enger benannter Lëscht

E PPP-Profil kann d'Adress, déi et vergëtt, beim Start vun der Sessioun an eng benannt Adresslëscht leeën. Dat mécht aus enger flüchteger Tunneladress eppes, wat d'Firewall no Numm kann ofgläichen, an den Andrag verschwënnt, wann d'Sessioun ophält. De Kont ierft duerno den Ëmfang vu sengem Profil amplaz vun enger Reegel, déi eng Adress haart kodéiert.

Erstellt fir d'éischt de Profil a verbënnt duerno de secret explizit domat. E secret, deen nach op de Standardprofil weist, reproduzéiert dat ursprénglecht Problem.

Benennt de Profil an d'Lëscht sou, datt hir Aufgabe kloer sinn, a kommentéiert béid mat der Referenz vun der Ufro. Ee Profil kann e puer Leit mat demselwechten Ëmfang déngen, wärend d'Lëscht nach all lieweg Sessioun identifizéiert. Dat ass méi bëlleg z'iwwerpréiwen wéi eng Reegel pro Persoun.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Halt de erlaabten Déngscht an enger Lëscht fest

Setzt dee erlaabte Server an seng eege Adresslëscht amplaz d'Adress an eng Filterreegel anzebauen. D'Lëscht kann auditéeiert, erweidert a kommentéiert ginn, an d'Reegel, déi se notzt, ännert sech net, wann de Server plënnert. En eenzegen Andrag gesäit iwwerdriwwen aus, bis den zweeten Host kënnt, wat meeschtens geschitt.

Gläicht eng Lëscht of, wann d'Adress dynamesch oder laaschtverdeelt ass, a gläicht d'Adress direkt of, wann se reservéiert a stabil ass. Béid Méiglechkeete liest een kloer, wann de Kommentar den Déngscht an den Proprietär nennt.

Beschränkt d'Protokoll an de Port esou wéi den Host. En accept fir en Host ouni Portbeschränkung mécht all Déngscht op, deen deen Host bedreift, wat méi breet ass wéi déi meescht Zougrëffsufroe geduecht hunn. De Port ass Deel vun der Berechtegung, keen Detail, dee méi spéit bäikënnt.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Ordent de Sprong virun all breedem accept

Eng Sprongreegel schéckt weidergeleeten Traffic vun der ageschränkter Lëscht an eng privat Kette, wou déi ganz Politik an dräi Zeilen passt. Déi éischt Reegel akzeptéiert d'Zil an de Port, déi lescht verwërft alles anescht. De Sprong muss iwwer all breedem accept am forward stoen, well en éischten accept heescht, datt de Sprong ni leeft. Halt den accept fir established an related virum Sprong, sou datt Zrécktraffic nach fléisst.

Kuckt no, datt keng fasttrack-Reegel dësen Traffic laanscht déi ageschränkt Kette ka bréngen. Fasttrack ëmgeet de Rescht vum Filterwee, an eng ageschränkt Sessioun, déi fasttrackt gëtt, ass iwwerhaapt net ageschränkt.

Widderhëlt d'Entscheedung fir d'input-Kette, wann dem Router seng eege Déngschter onereechbar solle sinn. En Ëmfang, deen de weidergeleeten Traffic blockéiert an winbox op léisst, ass nëmmen hallef fäerdeg.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Iwwerpréift mat Zieler a Lëschtmembert

Vum Client aus probéiert den erlaabten Déngscht an een, dee muss feelen, a liest duerno d'Reegelstatistik um Router. D'accept- an drop-Zieler weisen, wéi ee Wee all Pak geholl huet, wat de Client net ka gesinn. Bestätegt och, datt d'Adress vun der lieweger Sessioun an der ageschränkter Lëscht opgetrueden ass.

Eng eidel Lëscht heescht, datt de Kont op engem anere Profil ass oder de Profil seng Adresslëscht-Astellung verluer huet. En drop-Zieler, deen eropgeet, wärend en erlaabten Déngscht feelt, heescht, datt d'Zil oder de Port net mat deem passt, wat de Client schéckt.

Probéiert deeselwechten Déngscht no Numm an no Adress, ier Dir eppes fäerdeg schléisst. En Nummopléisungsfehler gesäit vum Client aus genee aus wéi e blockéierten Port. Duerno halt de Profil, béid Lëschten an den eenzegen erlaabten Déngscht an der Zougrëffsufro fest, sou datt déi nächst Iwwerpréiwung vergläicht amplaz nei opzebauen.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients