MikroTik VPN ഉപയോക്താവ് വളരെ ദൂരെ എത്തുന്നു: ഒരു ഹോസ്റ്റിലും ഒരു പോർട്ടിലും ഒതുക്കുക

ടണൽ ഉയരുന്നു, ലോഗിൻ വിജയിക്കുന്നു, നെറ്റ്വർക്കിലെ ഓരോ ഹോസ്റ്റും ഉത്തരം നൽകുന്നു. ഇത് തകർന്ന VPN അല്ല; ഇത് അനുമതി മാതൃകയില്ലാത്ത VPN ആണ്. RouterOS അക്കൗണ്ട് പ്രാമാണീകരിച്ച് പിന്നീട് അതിന്റെ പാക്കറ്റുകൾ മറ്റെല്ലാവരുടേതും പോലെ റൂട്ട് ചെയ്യുന്നു, അതിനാൽ പരിധി ഫയർവാൾ നൽകണം. ലോഗിൻ തകർക്കാതെ ആ പരിധി ചേർക്കുന്നതാണ് മുഴുവൻ ജോലി.

പ്രാമാണീകരണം അനുമതി ആരംഭിക്കുന്നിടത്ത് അവസാനിക്കുന്നു

PPP സെഷൻ ഉയർന്നാൽ ക്ലയന്റിന്റെ പാക്കറ്റുകൾ മറ്റേതെങ്കിലും ഇന്റർഫേസിന്റെ ട്രാഫിക്ക് പോലെ forward ചെയിനിൽ പ്രവേശിക്കുന്നു. റൂട്ടറിന്റെ forward നയം അനുവദനീയമാണെങ്കിൽ കൺസൾട്ടന്റ് ലോഗിൻ ചെയ്യുമ്പോൾ ആ അനുവാദം പാരമ്പര്യമായി നേടുന്നു. അക്കൗണ്ട് ഒരിക്കലും ഒരു പരിധി വഹിച്ചിരുന്നില്ല, അതിനാൽ അക്കൗണ്ടിൽ മാറ്റാൻ ഒന്നുമില്ല. നിയമക്കൂട്ടം ജീവനക്കാർക്കായി എഴുതിയതാണ്, പുതിയ സെഷൻ അതിൽ ചേർന്നു മാത്രം.

എന്തെങ്കിലും എഴുതുന്നതിന് മുമ്പ് അഭ്യർത്ഥന ഏത് പാതയെക്കുറിച്ചാണെന്ന് പരിശോധിക്കുക. റൂട്ടറിന് പിന്നിലെ ഹോസ്റ്റുകളിലേക്കുള്ള ട്രാഫിക് forward കടന്നുപോകുന്നു, അതേസമയം റൂട്ടറിലേക്കുതന്നെയുള്ള ട്രാഫിക്, winbox-ഉം SSH-ഉം ഉൾപ്പെടെ, input കടന്നുപോകുന്നു. forward മാത്രം ഉൾക്കൊള്ളുന്ന പരിധി ഉപകരണം അതേ ക്ലയന്റിന് തുറന്നിടുന്നു.

രണ്ട് ചെയിനുകൾക്കും ഒരു തീരുമാനം വേണം, തീരുമാനം input അടച്ചിടുകയാണെങ്കിലും. ആ തിരഞ്ഞെടുപ്പ് പ്രവേശന അഭ്യർത്ഥനയുടേതാണ്, പിന്നീടുള്ള ചിന്തയുടേതല്ല.

സെഷൻ ഒരു പേരുള്ള പട്ടികയോട് ചേർക്കുക

PPP പ്രൊഫൈലിന് സെഷൻ തുടങ്ങുമ്പോൾ നൽകുന്ന വിലാസം ഒരു പേരുള്ള വിലാസ പട്ടികയിൽ ഇടാം. അത് താൽക്കാലിക ടണൽ വിലാസത്തെ ഫയർവാൾ പേരനുസരിച്ച് ഒത്തുനോക്കാവുന്ന ഒന്നാക്കി മാറ്റുന്നു, സെഷൻ അവസാനിക്കുമ്പോൾ എൻട്രി അപ്രത്യക്ഷമാകുന്നു. പിന്നീട് അക്കൗണ്ട് വിലാസം കട്ടിയായി കോഡ് ചെയ്യുന്ന നിയമത്തിൽ നിന്നല്ല, തന്റെ പ്രൊഫൈലിൽ നിന്ന് പരിധി പാരമ്പര്യമായി നേടുന്നു.

ആദ്യം പ്രൊഫൈൽ ഉണ്ടാക്കുക, പിന്നീട് secret അതിലേക്ക് വ്യക്തമായി ബന്ധിപ്പിക്കുക. ഇപ്പോഴും സ്ഥിരസ്ഥിതി പ്രൊഫൈലിലേക്ക് ചൂണ്ടുന്ന secret യഥാർത്ഥ പ്രശ്നം പുനർനിർമ്മിക്കുന്നു.

പ്രൊഫൈലിനും പട്ടികയ്ക്കും അവയുടെ ജോലികൾ വ്യക്തമാകുന്ന പേരുകൾ നൽകുക, രണ്ടിനും അഭ്യർത്ഥനയുടെ റഫറൻസോടെ അഭിപ്രായം ചേർക്കുക. ഒരു പ്രൊഫൈലിന് ഒരേ പരിധിയുള്ള പലർക്കും സേവനം നൽകാം, പട്ടിക ഇപ്പോഴും ഓരോ ജീവനുള്ള സെഷനെയും തിരിച്ചറിയുന്നു. ഓരോ വ്യക്തിക്കും ഒരു നിയമത്തേക്കാൾ ഇത് അവലോകനത്തിന് വിലകുറഞ്ഞതാണ്.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

അനുവദിച്ച സേവനം ഒരു പട്ടികയിൽ രേഖപ്പെടുത്തുക

അനുവദിച്ച സെർവർ ഫിൽട്ടർ നിയമത്തിൽ വിലാസം ഉൾച്ചേർക്കുന്നതിന് പകരം അതിന്റെ സ്വന്തം വിലാസ പട്ടികയിൽ ഇടുക. പട്ടിക ഓഡിറ്റ് ചെയ്യാം, വിപുലീകരിക്കാം, അഭിപ്രായം ചേർക്കാം, സെർവർ മാറുമ്പോൾ അത് ഉപയോഗിക്കുന്ന നിയമം മാറുന്നില്ല. ഒരു എൻട്രി രണ്ടാമത്തെ ഹോസ്റ്റ് വരുന്നതുവരെ അമിതമായി തോന്നുന്നു, അത് സാധാരണയായി വരുന്നു.

വിലാസം ചലനാത്മകമോ ലോഡ് ബാലൻസ്ഡോ ആണെങ്കിൽ പട്ടിക ഒത്തുനോക്കുക, റിസർവ് ചെയ്തതും സ്ഥിരവുമാണെങ്കിൽ വിലാസം നേരിട്ട് ഒത്തുനോക്കുക. അഭിപ്രായം സേവനവും ഉടമയും പേരിട്ടാൽ ഏത് തിരഞ്ഞെടുപ്പും വ്യക്തമായി വായിക്കാം.

ഹോസ്റ്റിനൊപ്പം പ്രോട്ടോക്കോളും പോർട്ടും ഒതുക്കുക. പോർട്ട് നിയന്ത്രണമില്ലാത്ത ഹോസ്റ്റിനുള്ള accept ആ ഹോസ്റ്റ് പ്രവർത്തിപ്പിക്കുന്ന ഓരോ സേവനവും തുറക്കുന്നു, ഇത് മിക്ക പ്രവേശന അഭ്യർത്ഥനകളും ഉദ്ദേശിക്കുന്നതിനേക്കാൾ വിശാലമാണ്. പോർട്ട് അനുമതിയുടെ ഭാഗമാണ്, പിന്നീട് ചേർക്കേണ്ട വിശദാംശമല്ല.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

ഏതെങ്കിലും വിശാല accept-ന് മുമ്പ് ജമ്പ് ക്രമീകരിക്കുക

ജമ്പ് നിയമം പരിമിത പട്ടികയിൽ നിന്ന് കൈമാറിയ ട്രാഫിക്കിനെ മുഴുവൻ നയവും മൂന്ന് വരികളിൽ ഒതുങ്ങുന്ന ഒരു സ്വകാര്യ ചെയിനിലേക്ക് അയയ്ക്കുന്നു. ആദ്യ നിയമം അനുവദിച്ച ലക്ഷ്യവും പോർട്ടും സ്വീകരിക്കുന്നു, അവസാന നിയമം ബാക്കിയെല്ലാം വീഴ്ത്തുന്നു. ജമ്പ് forward-ലെ ഏതെങ്കിലും വിശാല accept-ന് മുകളിലായിരിക്കണം, കാരണം മുൻപുള്ള accept എന്നാൽ ജമ്പ് ഒരിക്കലും പ്രവർത്തിക്കില്ല. മടക്ക ട്രാഫിക് ഒഴുകാൻ established, related accept ജമ്പിന് മുമ്പ് നിർത്തുക.

ഈ ട്രാഫിക്കിനെ പരിമിത ചെയിനിന് അപ്പുറം കൊണ്ടുപോകാൻ ഒരു fasttrack നിയമത്തിനും കഴിയില്ലെന്ന് പരിശോധിക്കുക. Fasttrack ഫിൽട്ടർ പാതയുടെ ബാക്കി ഒഴിവാക്കുന്നു, fasttrack ചെയ്ത പരിമിത സെഷൻ ഒട്ടും പരിമിതമല്ല.

റൂട്ടറിന്റെ സ്വന്തം സേവനങ്ങൾ എത്താനാകാത്തതായിരിക്കണമെങ്കിൽ input ചെയിനിനും തീരുമാനം ആവർത്തിക്കുക. കൈമാറിയ ട്രാഫിക് തടഞ്ഞ് winbox തുറന്നിടുന്ന പരിധി പകുതി മാത്രമേ തീർന്നിട്ടുള്ളൂ.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

കൗണ്ടറുകളും പട്ടിക അംഗത്വവും ഉപയോഗിച്ച് പരിശോധിക്കുക

ക്ലയന്റിൽ നിന്ന് അനുവദിച്ച സേവനവും പരാജയപ്പെടേണ്ട ഒന്നും പരിശോധിച്ച്, പിന്നീട് റൂട്ടറിൽ നിയമ സ്ഥിതിവിവരക്കണക്കുകൾ വായിക്കുക. accept, drop കൗണ്ടറുകൾ ഓരോ പാക്കറ്റും ഏത് പാതയിലൂടെ പോയി എന്ന് കാണിക്കുന്നു, അത് ക്ലയന്റിന് കാണാനാകില്ല. ജീവനുള്ള സെഷന്റെ വിലാസം പരിമിത പട്ടികയിൽ പ്രത്യക്ഷപ്പെട്ടെന്നും സ്ഥിരീകരിക്കുക.

ശൂന്യമായ പട്ടിക എന്നാൽ അക്കൗണ്ട് മറ്റൊരു പ്രൊഫൈലിലാണ് അല്ലെങ്കിൽ പ്രൊഫൈലിന് അതിന്റെ വിലാസ പട്ടിക ക്രമീകരണം നഷ്ടമായി. അനുവദിച്ച സേവനം പരാജയപ്പെടുമ്പോൾ drop കൗണ്ടർ ഉയരുന്നു എന്നാൽ ലക്ഷ്യമോ പോർട്ടോ ക്ലയന്റ് അയയ്ക്കുന്നതുമായി ഒത്തുപോകുന്നില്ല.

എന്തെങ്കിലും നിഗമനത്തിൽ എത്തുന്നതിന് മുമ്പ് അതേ സേവനം പേരിലും വിലാസത്തിലും പരിശോധിക്കുക. പേര് വിശകലന പരാജയം ക്ലയന്റിൽ നിന്ന് തടയപ്പെട്ട പോർട്ട് പോലെത്തന്നെ തോന്നും. പിന്നീട് പ്രൊഫൈൽ, രണ്ട് പട്ടികകൾ, ഏക അനുവദിച്ച സേവനം എന്നിവ പ്രവേശന അഭ്യർത്ഥനയിൽ രേഖപ്പെടുത്തുക, അടുത്ത അവലോകനം പുനർനിർമ്മിക്കുന്നതിന് പകരം താരതമ്യം ചെയ്യാൻ.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients