Utent MikroTik VPN jasal wisq 'il bogħod: illimita għal wieħed host u port wieħed

It-tunnel jitla', id-dħul jirnexxi, u kull host fuq in-netwerk iwieġeb. Dan mhux VPN imkisser; dan hu VPN mingħajr mudell ta' permessi. RouterOS jawtentika l-kont u mbagħad jirrotta l-pakketti tiegħu bħal ta' kulħadd, għalhekk il-firewall irid iforni l-limitu. Iż-żieda ta' dak il-limitu mingħajr ma jinkiser id-dħul hija x-xogħol kollu.

L-awtentikazzjoni tintemm fejn tibda l-permess

Ladarba s-sessjoni PPP titla', il-pakketti tal-klijent jidħlu fil-katina forward bħat-traffiku minn kwalunkwe interface oħra. Jekk il-politika forward tar-router hija permissiva, il-konsulent jiret dik il-permissività mad-dħul. Il-kont qatt ma ġarr ambitu, għalhekk m'hemm xejn x'jinbidel fuq il-kont. Is-sett ta' regoli nkiteb għall-impjegati u s-sessjoni l-ġdida sempliċement ingħaqdet miegħu.

Iċċekkja għal liema mogħdija tirreferi t-talba qabel tikteb xi ħaġa. It-traffiku lejn hosts wara r-router jaqsam il-forward, filwaqt li t-traffiku lejn ir-router innifsu, inklużi winbox u SSH, jaqsam l-input. Ambitu li jkopri biss il-forward iħalli l-apparat miftuħ għall-istess klijent.

Iż-żewġ ktajjen jeħtieġu deċiżjoni, anki jekk id-deċiżjoni hija li l-input jibqa' magħluq. Dik l-għażla tappartjeni għat-talba tal-aċċess, mhux għal ħsieb aktar tard.

Waħħal is-sessjoni ma' lista msemmija

Profil PPP jista' jqiegħed l-indirizz li jagħti f'lista tal-indirizzi msemmija meta tibda s-sessjoni. Dan ibiddel indirizz tat-tunnel temporanju f'xi ħaġa li l-firewall jista' jqabbel bl-isem, u d-dħul jisparixxi meta tispiċċa s-sessjoni. Il-kont imbagħad jiret l-ambitu mill-profil tiegħu minflok minn regola li tikkodifika indirizz b'mod iebes.

Oħloq il-profil l-ewwel, imbagħad orbot is-secret miegħu b'mod espliċitu. Secret li għadu jindika lejn il-profil default jerġa' jipproduċi l-problema oriġinali.

Semmi l-profil u l-lista sabiex ix-xogħlijiet tagħhom ikunu ovvji, u kkommenta t-tnejn bir-referenza tat-talba. Profil wieħed jista' jservi diversi persuni bl-istess ambitu, filwaqt li l-lista xorta tidentifika kull sessjoni ħajja. Dan huwa orħos biex jiġi rivedut minn regola għal kull persuna.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Irreġistra s-servizz permess f'lista waħda

Qiegħed is-server permess fil-lista tal-indirizzi tiegħu stess minflok tinkorpora l-indirizz f'regola tal-filtru. Il-lista tista' tiġi awditjata, estiża u kkommentata, u r-regola li tużaha ma tinbidilx meta s-server jiċċaqlaq. Dħul wieħed jidher eċċessiv sakemm jasal it-tieni host, li normalment jiġri.

Qabbel lista meta l-indirizz ikun dinamiku jew ibbilanċjat, u qabbel l-indirizz direttament meta jkun riżervat u stabbli. Kull għażla tinqara b'mod ċar jekk il-kumment isemmi s-servizz u s-sid.

Illimita l-protokoll u l-port kif ukoll il-host. Accept għal host mingħajr restrizzjoni tal-port jiftaħ kull servizz li jġesti dak il-host, li huwa usa' minn kemm beħsiebha l-biċċa l-kbira tat-talbiet tal-aċċess. Il-port huwa parti mill-permess, mhux dettall li jiżdied aktar tard.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Ordna l-qbiż qabel kwalunkwe accept wiesa'

Regola ta' qbiż tibgħat it-traffiku mibgħut mill-lista limitata fi katina privata fejn il-politika kollha tidħol fi tliet linji. L-ewwel regola taċċetta d-destinazzjoni u l-port permessi, u l-aħħar regola twaqqa' kull ħaġa oħra. Il-qbiż irid ikun 'il fuq minn kwalunkwe accept wiesa' fil-forward, għax accept aktar kmieni jfisser li l-qbiż qatt ma jiġri. Żomm l-accept għal established u related qabel il-qbiż sabiex it-traffiku tar-ritorn ikompli jiċċirkola.

Iċċekkja li ebda regola fasttrack ma tista' ġġorr dan it-traffiku wara l-katina limitata. Fasttrack jaqbeż il-bqija tal-mogħdija tal-filtru, u sessjoni limitata li ssir fasttrack m'hijiex limitata xejn.

Irrepeti d-deċiżjoni għall-katina input jekk is-servizzi tar-router innifsu għandhom ikunu inaċċessibbli. Ambitu li jimblokka t-traffiku mibgħut u jħalli winbox miftuħ huwa biss nofsu lest.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Ivverifika bil-kontaturi u bis-sħubija fil-lista

Mill-klijent, ipprova s-servizz permess u wieħed li għandu jfalli, imbagħad aqra l-istatistika tar-regoli fuq ir-router. Il-kontaturi accept u drop juru liema mogħdija ħa kull pakkett, li l-klijent ma jistax jara. Ikkonferma wkoll li l-indirizz tas-sessjoni ħajja deher fil-lista limitata.

Lista vojta tfisser li l-kont huwa fuq profil ieħor jew li l-profil tilef is-setting tal-lista tal-indirizzi. Kontatur drop li qed jitla' b'servizz permess li qed jfalli jfisser li d-destinazzjoni jew il-port ma jaqblux ma' dak li jibgħat il-klijent.

Ipprova l-istess servizz bl-isem u bl-indirizz qabel tikkonkludi xi ħaġa. Falliment ta' riżoluzzjoni tal-isem jidher eżattament bħal port imblukkat min-naħa tal-klijent. Imbagħad irreġistra l-profil, iż-żewġ listi u l-uniku servizz permess fit-talba tal-aċċess sabiex ir-reviżjoni li jmiss tqabbel minflok tibni mill-ġdid.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients