MikroTik VPN корисник стигнува премногу далеку: ограничете на еден домаќин и еден порт

Тунелот се крева, најавувањето успева и секој домаќин во мрежата одговара. Тоа не е расипан VPN; тоа е VPN без модел на дозволи. RouterOS го автентицира сметката и потоа ги насочува неговите пакети како на секого друг, затоа ѕидот за заштита мора да ја обезбеди границата. Додавањето на таа граница без кршење на најавувањето е целата работа.

Автентикацијата завршува таму каде што почнува дозволата

Штом PPP сесијата е крената, пакетите од клиентот влегуваат во синџирот forward како сообраќај од кој било друг интерфејс. Ако forward политиката на рутерот е дозволувачка, консултантот ја наследува таа дозволувачка состојба при најавување. Сметката никогаш не носела опсег, затоа на сметката нема што да се смени. Правилата беа напишани за вработени и новата сесија едноставно им се придружи.

Проверете на кој пат се однесува барањето пред да напишете нешто. Сообраќајот кон домаќините зад рутерот поминува низ forward, додека сообраќајот кон самиот рутер, вклучително winbox и SSH, поминува низ input. Опсег што покрива само forward го остава уредот отворен за истиот клиент.

Двата синџира бараат одлука, дури и ако одлуката е input да остане затворен. Тој избор и припаѓа на барањето за пристап, а не на подоцнежна мисла.

Прикачете ја сесијата на именуван список

PPP профилот може да ја стави адресата што ја доделува во именуван список на адреси при почетокот на сесијата. Тоа ја претвора привремената адреса на тунелот во нешто што ѕидот за заштита може да го совпадне по име, а записот исчезнува кога сесијата ќе заврши. Сметката потоа го наследува опсегот од својот профил, а не од правило што адресата ја кодира цврсто.

Прво создајте го профилот, потоа експлицитно поврзете го secret со него. Secret што и понатаму покажува на стандардниот профил ја репродуцира првичната проблема.

Именувајте ги профилот и списокот така што нивните задачи ќе бидат очигледни и коментирајте ги двата со референцата на барањето. Еден профил може да опслужи неколку луѓе со ист опсег, додека списокот и понатаму ја идентификува секоја жива сесија. Тоа е поевтино за преглед отколку правило по личност.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Запишете ја дозволената услуга во еден список

Ставете го дозволениот сервер во неговиот сопствен список на адреси наместо да ја вградите адресата во правило за филтрирање. Списокот може да се ревидира, проширува и коментира, а правилото што го користи не се менува кога серверот се преместува. Еден запис изгледа претерано додека не дојде вториот домаќин, што обично се случува.

Совпаѓајте список кога адресата е динамична или распределена по оптоварување, и совпаѓајте ја адресата директно кога е резервирана и стабилна. Секој избор се чита јасно ако коментарот ги именува услугата и сопственикот.

Ограничете го протоколот и портата, како и домаќинот. Accept за домаќин без ограничување на портата отвора секоја услуга што ја извршува тој домаќин, што е пошироко отколку што имаат намера повеќето барања за пристап. Портата е дел од дозволата, а не детал што се додава подоцна.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Редете го скокот пред секој широк accept

Правилото за скок испраќа проследен сообраќај од ограничениот список во приватен синџир каде целата политика се собира во три реда. Првото правило ја прифаќа дозволената дестинација и порта, а последното го отфрла сето останато. Скокот мора да стои над секој широк accept во forward, бидејќи претходен accept значи дека скокот никогаш не се извршува. Држете го accept за established и related пред скокот за возвратниот сообраќај да продолжи да тече.

Проверете дали ниедно правило fasttrack не може да го пренесе овој сообраќај покрај ограничениот синџир. Fasttrack го заобиколува остатокот од патот на филтрирање, а ограничена сесија што е fasttrack не е воопшто ограничена.

Повторете ја одлуката за синџирот input ако услугите на самиот рутер треба да бидат недостапни. Опсег што го блокира проследениот сообраќај и го остава winbox отворен е само половина готов.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Проверете со бројачи и членство во списокот

Од клиентот, тестирајте ја дозволената услуга и една што мора да не успее, потоа прочитајте ја статистиката на правилата на рутерот. Бројачите accept и drop покажуваат по кој пат одел секој пакет, што клиентот не може да го види. Потврдете и дека адресата на живата сесија се појавила во ограничениот список.

Празен список значи дека сметката е на друг профил или профилот ја изгубил поставката за список на адреси. Бројач drop што расте додека дозволената услуга не успева значи дека дестинацијата или портата не се совпаѓаат со она што го испраќа клиентот.

Тестирајте ја истата услуга по име и по адреса пред да заклучите нешто. Неуспехот во разрешувањето имиња од страната на клиентот изгледа токму како блокирана порта. Потоа запишете ги профилот, двата списоци и единствената дозволена услуга во барањето за пристап, за следниот преглед да споредува наместо да реконструира.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients