MikroTik VPN хэрэглэгч хэт хол хүрдэг: нэг хост, нэг портоор хязгаарла

Туннель босч, нэвтрэлт амжилттай болж, сүлжээний хост бүр хариу өгдөг. Энэ бол эвдэрсэн VPN биш; энэ бол зөвшөөрлийн загваргүй VPN. RouterOS бүртгэлийг баталгаажуулаад дараа нь түүний пакетуудыг бусдынх шиг чиглүүлдэг тул хязгаарыг галт хана өгөх ёстой. Нэвтрэлтийг эвдэхгүйгээр тэр хязгаарыг нэмэх нь бүх ажил.

Баталгаажуулалт зөвшөөрөл эхлэх газарт дуусдаг

PPP сессия боссны дараа клиентийн пакетууд бусад интерфейсийн урсгал шиг forward гинжид ордог. Хэрэв маршрутлагчийн forward бодлого зөвшөөрөмжтэй бол зөвлөх нэвтрэх үед тэр зөвшөөрлийг өвлөн авдаг. Бүртгэл хэзээ ч хамрах хүрээ агуулаагүй тул бүртгэл дээр өөрчлөх зүйл байхгүй. Дүрмийн багцыг ажилтнуудад зориулж бичсэн бөгөөд шинэ сессия зүгээр л түүнд нэгдсэн.

Ямар нэг зүйл бичихээс өмнө хүсэлт аль замд хамаарахыг шалгаарай. Маршрутлагчийн ардах хостууд руу чиглэсэн урсгал forward-оор дамждаг, харин маршрутлагч өөр рүүгээ, winbox ба SSH-ийг оролцуулан, урсгал input-ээр дамждаг. Зөвхөн forward-ыг хамарсан хүрээ төхөөрөмжийг мөн тэр клиентэд нээлттэй үлдээдэг.

Хоёр гинж хоёулаа шийдвэр шаарддаг, шийдвэр нь input-ыг хаалттай үлдээх байсан ч. Тэр сонголт нэвтрэх хүсэлтэд хамаарах бөгөөд дараагийн бодолд биш.

Сессийг нэртэй жагсаалтад хавсарга

PPP профиль нь сессия эхлэх үед олгож буй хаягийг нэртэй хаягийн жагсаалтад хийж чадна. Энэ нь түр зуурын туннелийн хаягийг галт хана нэрээр тааруулж чадах зүйл болгож, сессия дуусахад бичлэг алга болдог. Дараа нь бүртгэл хаягийг хатуу кодлосон дүрмээс биш, өөрийн профайлаас хүрээг өвлөн авдаг.

Эхлээд профайлыг үүсгээд дараа нь secret-ийг түүнд тодорхой холбоорой. Өгөгдмөл профайл руу чиглэсээр байгаа secret анхны асуудлыг дахин үүсгэдэг.

Профайл ба жагсаалтыг тэдний үүрэг тодорхой байхаар нэрлэж, хоёуланд нь хүсэлтийн лавлагаатай тайлбар нэмээрэй. Нэг профайл ижил хүрээтэй хэд хэдэн хүнд үйлчилж чадах бөгөөд жагсаалт амьд сессия бүрийг танина. Энэ нь хүн тутамд нэг дүрмээс хянахад хямд.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Зөвшөөрөгдсөн үйлчилгээг нэг жагсаалтад бүртгэ

Зөвшөөрөгдсөн серверийг хаягийг шүүлтүүрийн дүрэмд шингээхийн оронд өөрийн хаягийн жагсаалтад байрлуул. Жагсаалтыг аудит хийх, өргөтгөх, тайлбарлах боломжтой бөгөөд сервер нүүхэд түүнийг хэрэглэдэг дүрэм өөрчлөгддөггүй. Ганц бичлэг хоёр дахь хост ирэх хүртэл хэтрүүлэг мэт санагддаг бөгөөд энэ нь ихэвчлэн тохиолддог.

Хаяг динамик эсвэл ачаалалаар хуваагдсан үед жагсаалтыг тааруул, харин нөөцөлсөн ба тогтвортой үед хаягийг шууд тааруул. Тайлбар нь үйлчилгээ болон эзэмшигчийг нэрлэвэл аль ч сонголт тодорхой уншигдана.

Хостоос гадна протокол ба портыг хязгаарла. Портны хязгаарлалтгүй хостод зориулсан accept нь тэр хост ажиллуулдаг бүх үйлчилгээг нээдэг бөгөөд энэ нь ихэнх нэвтрэх хүсэлтийн зорьсноос өргөн. Порт нь зөвшөөрлийн хэсэг бөгөөд дараа нэмэх дэлгэрэнгүй биш.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Үсрэлтийг аливаа өргөн accept-ээс өмнө эрэмбэл

Үсрэлтийн дүрэм хязгаарлагдсан жагсаалтаас дамжуулсан урсгалыг бүх бодлого гурван мөрөнд багтах хувийн гинжид илгээдэг. Эхний дүрэм зөвшөөрөгдсөн очих газрыг болон портыг хүлээж авдаг, сүүлийн дүрэм бусад бүгдийг хаядаг. Үсрэлт нь forward дахь аливаа өргөн accept-ээс дээр байх ёстой, учир нь өмнөх accept нь үсрэлт хэзээ ч ажиллахгүй гэсэн үг. Буцах урсгал урсахын тулд established ба related accept-ыг үсрэлтээс өмнө байлга.

Ямар ч fasttrack дүрэм энэ урсгалыг хязгаарлагдсан гинжийг тойруулан авч чадахгүйг шалга. Fasttrack шүүлтүүрийн замын үлдсэнийг тойрдог бөгөөд fasttrack хийгдсэн хязгаарлагдсан сессия огт хязгаарлагдаагүй байна.

Хэрэв маршрутлагчийн өөрийн үйлчилгээнүүд хүрэхгүй байх ёстой бол input гинжийн хувьд шийдвэрийг давт. Дамжуулсан урсгалыг хааж, winbox-ыг нээлттэй үлдээсэн хүрээ зөвхөн хагас дууссан.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Тоолуур ба жагсаалтын гишүүнчлэлээр шалга

Клиентээс зөвшөөрөгдсөн үйлчилгээ болон заавал бүтэлгүйтэх ёстой нэг үйлчилгээг туршаад, дараа нь маршрутлагч дээрх дүрмийн статистикийг унш. accept ба drop тоолуурууд пакет бүр аль замаар явсныг харуулдаг бөгөөд клиент үүнийг харж чадахгүй. Амьд сессийн хаяг хязгаарлагдсан жагсаалтад гарч ирснийг ч баталгаажуул.

Хоосон жагсаалт нь бүртгэл өөр профайл дээр байгаа эсвэл профайл хаягийн жагсаалтын тохиргоогоо алдсаныг илэрхийлнэ. Зөвшөөрөгдсөн үйлчилгээ бүтэлгүйтэж байхад drop тоолуур өсөх нь очих газар эсвэл порт клиентийн илгээж буйтай тохирохгүй байгааг илэрхийлнэ.

Ямар нэг дүгнэлт хийхээс өмнө мөн тэр үйлчилгээг нэрээр болон хаягаар турш. Нэрийн шийдвэрлэлтийн алдаа клиентийн талаас хаагдсан порттой яг адил харагдана. Дараа нь профайл, хоёр жагсаалт, ганц зөвшөөрөгдсөн үйлчилгээг нэвтрэх хүсэлтэд бүртгэ, дараагийн хяналт дахин бүтээхийн оронд харьцуулах болтугай.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients