MikroTik VPN lietotājs aizsniedz pārāk daudz: ierobežojiet ar vienu resursdatoru un vienu portu

Tunelis paceļas, pierakstīšanās izdodas, un katrs tīkla resursdators atbild. Tas nav salūzis VPN; tas ir VPN bez atļauju modeļa. RouterOS autentificē kontu un pēc tam maršrutē tā paketes kā jebkuram citam, tāpēc ierobežojums jānodrošina ugunsmūrim. Pievienot šo ierobežojumu, nesalaužot pierakstīšanos, ir viss darbs.

Autentifikācija beidzas tur, kur sākas atļauja

Tiklīdz PPP sesija ir pacelta, klienta paketes nonāk forward ķēdē kā jebkuras citas saskarnes trafiks. Ja maršrutētāja forward politika ir atļaujoša, konsultants pierakstoties šo atļauju manto. Konts nekad nav nesis apjomu, tāpēc kontā nav ko mainīt. Noteikumu kopums tika rakstīts darbiniekiem, un jaunā sesija tam vienkārši pievienojās.

Pirms kaut ko rakstīt, pārbaudiet, uz kuru ceļu attiecas pieprasījums. Trafiks uz resursdatoriem aiz maršrutētāja šķērso forward, savukārt trafiks uz pašu maršrutētāju, tostarp winbox un SSH, šķērso input. Apjoms, kas aptver tikai forward, atstāj ierīci atvērtu tam pašam klientam.

Abām ķēdēm vajadzīgs lēmums, pat ja lēmums ir atstāt input aizvērtu. Šī izvēle pieder piekļuves pieprasījumam, nevis vēlākai domai.

Piesaistiet sesiju nosauktam sarakstam

PPP profils sesijas sākumā var ievietot izsniegto adresi nosauktā adrešu sarakstā. Tas pārvērš pārejošu tuneļa adresi kaut kā tādā, ko ugunsmūris var saskaņot pēc nosaukuma, un ieraksts pazūd, kad sesija beidzas. Pēc tam konts manto apjomu no sava profila, nevis no noteikuma, kas adresi iekodē stingri.

Vispirms izveidojiet profilu, pēc tam skaidri piesaistiet tam secret. Secret, kas joprojām norāda uz noklusējuma profilu, atveido sākotnējo problēmu.

Nosaucie profilu un sarakstu tā, lai to uzdevumi būtu acīmredzami, un komentējiet abus ar pieprasījuma atsauci. Viens profils var apkalpot vairākus cilvēkus ar to pašu apjomu, kamēr saraksts joprojām identificē katru dzīvo sesiju. To ir lētāk pārskatīt nekā noteikumu uz cilvēku.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Reģistrējiet atļauto pakalpojumu vienā sarakstā

Ievietojiet atļauto serveri tā paša adrešu sarakstā, tā vietā lai iegultu adresi filtra noteikumā. Sarakstu var auditēt, paplašināt un komentēt, un noteikums, kas to izmanto, nemainās, kad serveris pārvietojas. Viens ieraksts šķiet pārmērīgs, līdz pienāk otrais resursdators, kas parasti notiek.

Saskaņojiet sarakstu, kad adrese ir dinamiska vai sadalīta, un saskaņojiet adresi tieši, kad tā ir rezervēta un stabila. Abas izvēles ir skaidri nolasāmas, ja komentārā nosaukts pakalpojums un īpašnieks.

Ierobežojiet protokolu un portu, kā arī resursdatoru. Accept resursdatoram bez porta ierobežojuma atver katru pakalpojumu, ko šis resursdators darbina, un tas ir plašāk, nekā vairums piekļuves pieprasījumu paredz. Ports ir atļaujas daļa, nevis detaļa, ko pievieno vēlāk.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Sakārtojiet lēcienu pirms jebkura plaša accept

Lēciena noteikums sūta pārsūtīto trafiku no ierobežotā saraksta uz privātu ķēdi, kurā visa politika iekļaujas trīs rindās. Pirmais noteikums pieņem atļauto galamērķi un portu, un pēdējais nomet visu pārējo. Lēcienam jābūt virs jebkura plaša accept forward ķēdē, jo agrāks accept nozīmē, ka lēciens nekad neizpildās. Turiet established un related accept pirms lēciena, lai atgriezes trafiks joprojām plūstu.

Pārbaudiet, vai neviens fasttrack noteikums nevar aiznest šo trafiku garām ierobežotajai ķēdei. Fasttrack apiet atlikušo filtra ceļu, un ierobežota sesija, kurai piemērots fasttrack, nemaz nav ierobežota.

Atkārtojiet lēmumu input ķēdei, ja paša maršrutētāja pakalpojumiem jābūt nesasniedzamiem. Apjoms, kas bloķē pārsūtīto trafiku un atstāj winbox atvērtu, ir tikai pa pusei pabeigts.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Pārbaudiet ar skaitītājiem un saraksta piederību

No klienta pārbaudiet atļauto pakalpojumu un tādu, kam jācieš neveiksme, pēc tam nolasiet noteikumu statistiku maršrutētājā. Accept un drop skaitītāji rāda, pa kuru ceļu gāja katra pakete, ko klients nevar redzēt. Apstipriniet arī, ka dzīvās sesijas adrese parādījās ierobežotajā sarakstā.

Tukšs saraksts nozīmē, ka konts ir citā profilā vai profils ir zaudējis adrešu saraksta iestatījumu. Augošs drop skaitītājs, kamēr atļautais pakalpojums cieš neveiksmi, nozīmē, ka galamērķis vai ports neatbilst tam, ko klients sūta.

Pārbaudiet to pašu pakalpojumu pēc nosaukuma un pēc adreses, pirms kaut ko secināt. Nosaukumu izšķiršanas kļūda no klienta puses izskatās tieši kā bloķēts ports. Pēc tam reģistrējiet profilu, abus sarakstus un vienīgo atļauto pakalpojumu piekļuves pieprasījumā, lai nākamā pārskatīšana salīdzinātu, nevis atjaunotu.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients