MikroTik VPN प्रयोगकर्ता धेरै टाढा पुग्छ: एक होस्ट र एक पोर्टमा सीमित गर्नुहोस्

टनेल माथि आउँछ, लगइन सफल हुन्छ, र नेटवर्कको हरेक होस्टले जवाफ दिन्छ। यो बिग्रिएको VPN होइन; यो अनुमति-मोडेल बिनाको VPN हो। RouterOS ले खाता प्रमाणित गर्छ र त्यसपछि यसका प्याकेटहरू अरू सबैका जस्तै रुट गर्छ, त्यसैले सीमा फायरवालले दिनुपर्छ। लगइन नबिगारी त्यो सीमा थप्नु नै पूरै काम हो।

प्रमाणीकरण अनुमति सुरु हुने ठाउँमै अन्त्य हुन्छ

PPP सत्र माथि आएपछि क्लाइन्टका प्याकेटहरू अन्य कुनै पनि इन्टरफेसको ट्राफिकजस्तै forward शृंखलामा प्रवेश गर्छन्। यदि राउटरको forward नीति अनुमतिप्रद छ भने परामर्शदाताले लगइनमा त्यही अनुमतिप्रदता पाउँछ। खाताले कहिल्यै कुनै दायरा बोकेन, त्यसैले खातामा बदल्ने केही छैन। नियम-समूह कर्मचारीहरूका लागि लेखिएको थियो र नयाँ सत्र त्यसमा मिसिएर मात्र।

केही लेख्नुअघि अनुरोध कुन बाटोको हो जाँच्नुहोस्। राउटर पछाडिका होस्टतर्फको ट्राफिक forward पार गर्छ, जबकि राउटर आफैंतर्फको ट्राफिक, winbox र SSH सहित, input पार गर्छ। केवल forward ढाक्ने दायराले उपकरणलाई त्यही क्लाइन्टका लागि खुला राख्छ।

दुवै शृंखलालाई निर्णय चाहिन्छ, निर्णय input बन्द राख्ने भए पनि। त्यो छनोट पहुँच अनुरोधको हो, पछिको सोचाइको होइन।

सत्रलाई नाम दिइएको सूचीमा जोड्नुहोस्

PPP प्रोफाइलले सत्र सुरु हुँदा दिने ठेगाना नाम दिइएको ठेगाना सूचीमा राख्न सक्छ। यसले क्षणिक टनेल ठेगानालाई फायरवालले नामबाट मिलाउन सक्ने कुरामा बदल्छ, र सत्र सकिँदा प्रविष्टि हराउँछ। त्यसपछि खाताले ठेगाना कडा रूपमा कोड गर्ने नियमबाट होइन, आफ्नो प्रोफाइलबाट दायरा पाउँछ।

पहिले प्रोफाइल बनाउनुहोस्, त्यसपछि secret स्पष्ट रूपमा त्यसमा बाँध्नुहोस्। पूर्वनिर्धारित प्रोफाइलतर्फ देखाइरहेको secret ले मूल समस्या पुनः उत्पादन गर्छ।

प्रोफाइल र सूचीलाई यस्तो नाम दिनुहोस् कि तिनका काम स्पष्ट होऊन्, र दुवैमा अनुरोधको सन्दर्भसहित टिप्पणी गर्नुहोस्। एउटा प्रोफाइलले एउटै दायराका धेरै जनालाई सेवा दिन सक्छ, जबकि सूचीले अझै हरेक जीवित सत्र चिन्छ। प्रत्येक व्यक्तिका लागि एक नियमभन्दा यो समीक्षाका लागि सस्तो छ।

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

अनुमति दिइएको सेवा एउटा सूचीमा लेख्नुहोस्

अनुमति दिइएको सर्भरलाई फिल्टर नियममा ठेगाना गाड्नुको सट्टा यसको आफ्नै ठेगाना सूचीमा राख्नुहोस्। सूचीको अडिट, विस्तार र टिप्पणी गर्न सकिन्छ, र सर्भर सर्दा यसलाई प्रयोग गर्ने नियम बदलिँदैन। एउटै प्रविष्टि दोस्रो होस्ट नआएसम्म अत्यधिक लाग्छ, जुन सामान्यतया आउँछ।

ठेगाना गतिशील वा लोड-सन्तुलित हुँदा सूची मिलाउनुहोस्, र आरक्षित र स्थिर हुँदा ठेगाना सिधै मिलाउनुहोस्। टिप्पणीले सेवा र मालिकको नाम लिएमा दुवैमध्ये कुनै पनि छनोट स्पष्ट पढिन्छ।

होस्टसँगै प्रोटोकल र पोर्ट पनि सीमित गर्नुहोस्। पोर्ट प्रतिबन्ध नभएको होस्टका लागि accept ले त्यो होस्टले चलाउने हरेक सेवा खोल्छ, जुन अधिकांश पहुँच अनुरोधको मनसायभन्दा फराकिलो छ। पोर्ट अनुमतिको भाग हो, पछि थपिने विवरण होइन।

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

कुनै पनि फराकिलो accept अघि जम्प क्रमबद्ध गर्नुहोस्

जम्प नियमले सीमित सूचीबाट अगाडि पठाइएको ट्राफिकलाई पूरै नीति तीन हरफमा अटाउने निजी शृंखलामा पठाउँछ। पहिलो नियमले अनुमति दिइएको गन्तव्य र पोर्ट स्वीकार्छ, र अन्तिम नियमले बाँकी सबै खसाल्छ। जम्प forward मा कुनै पनि फराकिलो accept माथि हुनुपर्छ, किनकि अघिल्लो accept भन्नाले जम्प कहिल्यै चल्दैन। फर्किने ट्राफिक बग्नका लागि established र related का accept जम्प अघि राख्नुहोस्।

कुनै पनि fasttrack नियमले यो ट्राफिकलाई सीमित शृंखलाबाट पन्छाएर लैजान नसक्ने जाँच्नुहोस्। Fasttrack फिल्टर बाटोको बाँकी छल्छ, र fasttrack गरिएको सीमित सत्र बिल्कुलै सीमित छैन।

राउटरका आफ्नै सेवाहरू पहुँचविहीन हुनुपर्ने भए input शृंखलाका लागि निर्णय दोहोर्याउनुहोस्। अगाडि पठाइएको ट्राफिक रोकी winbox खुला राख्ने दायरा आधा मात्र सकिएको हुन्छ।

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

काउन्टर र सूची-सदस्यताबाट प्रमाणित गर्नुहोस्

क्लाइन्टबाट अनुमति दिइएको सेवा र असफल हुनैपर्ने एउटा सेवा जाँच्नुहोस्, त्यसपछि राउटरमा नियम तथ्याङ्क पढ्नुहोस्। accept र drop काउन्टरले हरेक प्याकेटले कुन बाटो लियो देखाउँछ, जो क्लाइन्टले देख्न सक्दैन। जीवित सत्रको ठेगाना सीमित सूचीमा देखिएको पनि पुष्टि गर्नुहोस्।

खाली सूचीको अर्थ खाता अर्को प्रोफाइलमा छ वा प्रोफाइलले आफ्नो ठेगाना-सूची सेटिङ गुमायो। अनुमति दिइएको सेवा असफल हुँदा drop काउन्टर बढ्नुको अर्थ गन्तव्य वा पोर्ट क्लाइन्टले पठाएकोसँग मिल्दैन।

कुनै निष्कर्षमा पुग्नुअघि त्यही सेवा नाम र ठेगानाबाट जाँच्नुहोस्। नाम विश्लेषण असफलता क्लाइन्टको तर्फबाट अवरुद्ध पोर्टजस्तै देखिन्छ। त्यसपछि प्रोफाइल, दुवै सूची र एकमात्र अनुमति दिइएको सेवा पहुँच अनुरोधमा लेख्नुहोस् ताकि अर्को समीक्षाले पुनर्निर्माणको सट्टा तुलना गरोस्।

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients