MikroTik VPN ਵਰਤੋਂਕਾਰ ਬਹੁਤ ਦੂਰ ਪਹੁੰਚਦਾ ਹੈ: ਇੱਕ ਹੋਸਟ ਅਤੇ ਇੱਕ ਪੋਰਟ ਤੱਕ ਸੀਮਤ ਕਰੋ

ਟਨਲ ਉੱਪਰ ਆਉਂਦਾ ਹੈ, ਲੌਗਇਨ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਨੈੱਟਵਰਕ ਦਾ ਹਰ ਹੋਸਟ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਇਹ ਟੁੱਟਿਆ VPN ਨਹੀਂ ਹੈ; ਇਹ ਆਗਿਆ-ਮਾਡਲ ਤੋਂ ਬਿਨਾਂ VPN ਹੈ। RouterOS ਖਾਤੇ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂਚਦਾ ਹੈ ਅਤੇ ਫਿਰ ਉਸ ਦੇ ਪੈਕਟ ਕਿਸੇ ਹੋਰ ਵਾਂਗ ਰੂਟ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਸੀਮਾ ਫਾਇਰਵਾਲ ਨੂੰ ਦੇਣੀ ਪੈਂਦੀ ਹੈ। ਲੌਗਇਨ ਤੋੜੇ ਬਿਨਾਂ ਉਹ ਸੀਮਾ ਜੋੜਨਾ ਹੀ ਪੂਰਾ ਕੰਮ ਹੈ।

ਪ੍ਰਮਾਣਿਕਤਾ ਉੱਥੇ ਖਤਮ ਹੁੰਦੀ ਹੈ ਜਿੱਥੇ ਆਗਿਆ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ

PPP ਸੈਸ਼ਨ ਉੱਪਰ ਆਉਣ ਤੋਂ ਬਾਅਦ ਕਲਾਇੰਟ ਦੇ ਪੈਕਟ ਕਿਸੇ ਵੀ ਹੋਰ ਇੰਟਰਫੇਸ ਦੀ ਟ੍ਰੈਫਿਕ ਵਾਂਗ forward ਚੇਨ ਵਿੱਚ ਦਾਖਲ ਹੁੰਦੇ ਹਨ। ਜੇ ਰਾਊਟਰ ਦੀ forward ਨੀਤੀ ਖੁੱਲ੍ਹੀ ਹੈ, ਤਾਂ ਸਲਾਹਕਾਰ ਲੌਗਇਨ ਵੇਲੇ ਉਹ ਖੁੱਲ੍ਹ ਵਿਰਾਸਤ ਵਿੱਚ ਪਾਉਂਦਾ ਹੈ। ਖਾਤੇ ਨੇ ਕਦੇ ਕੋਈ ਦਾਇਰਾ ਨਹੀਂ ਰੱਖਿਆ, ਇਸ ਲਈ ਖਾਤੇ ਉੱਤੇ ਬਦਲਣ ਵਾਲਾ ਕੁਝ ਨਹੀਂ ਹੈ। ਨਿਯਮ-ਸਮੂਹ ਕਰਮਚਾਰੀਆਂ ਲਈ ਲਿਖਿਆ ਗਿਆ ਸੀ ਅਤੇ ਨਵਾਂ ਸੈਸ਼ਨ ਬੱਸ ਉਸ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋ ਗਿਆ।

ਕੁਝ ਵੀ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਬੇਨਤੀ ਕਿਸ ਰਾਹ ਦੀ ਹੈ। ਰਾਊਟਰ ਪਿੱਛੇ ਦੇ ਹੋਸਟਾਂ ਤੱਕ ਟ੍ਰੈਫਿਕ forward ਲੰਘਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਰਾਊਟਰ ਆਪਣੇ ਵੱਲ ਦੀ ਟ੍ਰੈਫਿਕ, winbox ਅਤੇ SSH ਸਮੇਤ, input ਲੰਘਦੀ ਹੈ। ਸਿਰਫ forward ਨੂੰ ਢਕਣ ਵਾਲਾ ਦਾਇਰਾ ਡਿਵਾਈਸ ਨੂੰ ਉਸੇ ਕਲਾਇੰਟ ਲਈ ਖੁੱਲ੍ਹਾ ਛੱਡਦਾ ਹੈ।

ਦੋਵੇਂ ਚੇਨਾਂ ਨੂੰ ਫੈਸਲਾ ਚਾਹੀਦਾ ਹੈ, ਭਾਵੇਂ ਫੈਸਲਾ input ਬੰਦ ਰੱਖਣਾ ਹੋਵੇ। ਉਹ ਚੋਣ ਪਹੁੰਚ ਬੇਨਤੀ ਦੀ ਹੈ, ਬਾਅਦ ਦੀ ਸੋਚ ਦੀ ਨਹੀਂ।

ਸੈਸ਼ਨ ਨੂੰ ਨਾਮ ਵਾਲੀ ਸੂਚੀ ਨਾਲ ਜੋੜੋ

PPP ਪ੍ਰੋਫਾਈਲ ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਹੁੰਦਿਆਂ ਦਿੱਤਾ ਪਤਾ ਨਾਮ ਵਾਲੀ ਪਤਾ-ਸੂਚੀ ਵਿੱਚ ਪਾ ਸਕਦੀ ਹੈ। ਇਹ ਅਸਥਾਈ ਟਨਲ ਪਤੇ ਨੂੰ ਉਸ ਚੀਜ਼ ਵਿੱਚ ਬਦਲਦਾ ਹੈ ਜਿਸ ਨੂੰ ਫਾਇਰਵਾਲ ਨਾਮ ਨਾਲ ਮਿਲਾ ਸਕਦਾ ਹੈ, ਅਤੇ ਸੈਸ਼ਨ ਖਤਮ ਹੁੰਦਿਆਂ ਐਂਟਰੀ ਗਾਇਬ ਹੋ ਜਾਂਦੀ ਹੈ। ਫਿਰ ਖਾਤਾ ਦਾਇਰਾ ਆਪਣੀ ਪ੍ਰੋਫਾਈਲ ਤੋਂ ਵਿਰਾਸਤ ਵਿੱਚ ਲੈਂਦਾ ਹੈ, ਨਾ ਕਿ ਪਤਾ ਸਖਤ ਕੋਡ ਕਰਨ ਵਾਲੇ ਨਿਯਮ ਤੋਂ।

ਪਹਿਲਾਂ ਪ੍ਰੋਫਾਈਲ ਬਣਾਓ, ਫਿਰ secret ਨੂੰ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਉਸ ਨਾਲ ਬੰਨ੍ਹੋ। ਡਿਫਾਲਟ ਪ੍ਰੋਫਾਈਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ secret ਮੂਲ ਸਮੱਸਿਆ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਪ੍ਰੋਫਾਈਲ ਅਤੇ ਸੂਚੀ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਨਾਮ ਦਿਓ ਕਿ ਉਨ੍ਹਾਂ ਦੇ ਕੰਮ ਸਪਸ਼ਟ ਹੋਣ, ਅਤੇ ਦੋਵਾਂ ਉੱਤੇ ਬੇਨਤੀ ਦੇ ਹਵਾਲੇ ਨਾਲ ਟਿੱਪਣੀ ਕਰੋ। ਇੱਕ ਪ੍ਰੋਫਾਈਲ ਇੱਕੋ ਦਾਇਰੇ ਵਾਲੇ ਕਈ ਲੋਕਾਂ ਦੀ ਸੇਵਾ ਕਰ ਸਕਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਸੂਚੀ ਹਰ ਜੀਵਤ ਸੈਸ਼ਨ ਦੀ ਪਛਾਣ ਕਰਦੀ ਹੈ। ਹਰ ਵਿਅਕਤੀ ਲਈ ਇੱਕ ਨਿਯਮ ਨਾਲੋਂ ਇਹ ਸਮੀਖਿਆ ਲਈ ਸਸਤਾ ਹੈ।

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

ਮਨਜ਼ੂਰ ਸੇਵਾ ਨੂੰ ਇੱਕ ਸੂਚੀ ਵਿੱਚ ਦਰਜ ਕਰੋ

ਮਨਜ਼ੂਰ ਸਰਵਰ ਨੂੰ ਫਿਲਟਰ ਨਿਯਮ ਵਿੱਚ ਪਤਾ ਧਸਾਉਣ ਦੀ ਬਜਾਏ ਉਸ ਦੀ ਆਪਣੀ ਪਤਾ-ਸੂਚੀ ਵਿੱਚ ਰੱਖੋ। ਸੂਚੀ ਦਾ ਆਡਿਟ, ਵਿਸਥਾਰ ਅਤੇ ਟਿੱਪਣੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਅਤੇ ਸਰਵਰ ਦੇ ਹਿੱਲਣ 'ਤੇ ਇਸ ਨੂੰ ਵਰਤਣ ਵਾਲਾ ਨਿਯਮ ਨਹੀਂ ਬਦਲਦਾ। ਇੱਕੋ ਐਂਟਰੀ ਦੂਜਾ ਹੋਸਟ ਆਉਣ ਤੱਕ ਵਧੀਕ ਲੱਗਦੀ ਹੈ, ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਆਉਂਦਾ ਹੈ।

ਪਤਾ ਗਤੀਸ਼ੀਲ ਜਾਂ ਲੋਡ-ਸੰਤੁਲਿਤ ਹੋਵੇ ਤਾਂ ਸੂਚੀ ਮਿਲਾਓ, ਅਤੇ ਰਾਖਵਾਂ ਤੇ ਸਥਿਰ ਹੋਵੇ ਤਾਂ ਪਤਾ ਸਿੱਧਾ ਮਿਲਾਓ। ਟਿੱਪਣੀ ਸੇਵਾ ਅਤੇ ਮਾਲਕ ਦਾ ਨਾਮ ਲਵੇ ਤਾਂ ਦੋਵੇਂ ਚੋਣਾਂ ਸਪਸ਼ਟ ਪੜ੍ਹੀਆਂ ਜਾਂਦੀਆਂ ਹਨ।

ਹੋਸਟ ਦੇ ਨਾਲ-ਨਾਲ ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਪੋਰਟ ਵੀ ਸੀਮਤ ਕਰੋ। ਪੋਰਟ ਪਾਬੰਦੀ ਤੋਂ ਬਿਨਾਂ ਹੋਸਟ ਲਈ accept ਉਸ ਹੋਸਟ ਦੀ ਚੱਲਣ ਵਾਲੀ ਹਰ ਸੇਵਾ ਖੋਲ੍ਹ ਦਿੰਦਾ ਹੈ, ਜੋ ਜ਼ਿਆਦਾਤਰ ਪਹੁੰਚ ਬੇਨਤੀਆਂ ਦੇ ਇਰਾਦੇ ਨਾਲੋਂ ਵਿਸ਼ਾਲ ਹੈ। ਪੋਰਟ ਆਗਿਆ ਦਾ ਹਿੱਸਾ ਹੈ, ਬਾਅਦ ਵਿੱਚ ਜੋੜਨ ਵਾਲਾ ਵੇਰਵਾ ਨਹੀਂ।

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

ਕਿਸੇ ਵੀ ਵਿਸ਼ਾਲ accept ਤੋਂ ਪਹਿਲਾਂ ਜੰਪ ਨੂੰ ਤਰਤੀਬ ਦਿਓ

ਜੰਪ ਨਿਯਮ ਸੀਮਤ ਸੂਚੀ ਤੋਂ ਅੱਗੇ ਭੇਜੀ ਟ੍ਰੈਫਿਕ ਨੂੰ ਇੱਕ ਨਿੱਜੀ ਚੇਨ ਵਿੱਚ ਭੇਜਦਾ ਹੈ ਜਿੱਥੇ ਪੂਰੀ ਨੀਤੀ ਤਿੰਨ ਲਾਈਨਾਂ ਵਿੱਚ ਆ ਜਾਂਦੀ ਹੈ। ਪਹਿਲਾ ਨਿਯਮ ਮਨਜ਼ੂਰ ਮੰਜ਼ਿਲ ਅਤੇ ਪੋਰਟ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਆਖਰੀ ਨਿਯਮ ਬਾਕੀ ਸਭ ਡੇਗ ਦਿੰਦਾ ਹੈ। ਜੰਪ forward ਵਿੱਚ ਕਿਸੇ ਵੀ ਵਿਸ਼ਾਲ accept ਤੋਂ ਉੱਪਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਪਹਿਲਾਂ ਦਾ accept ਭਾਵ ਜੰਪ ਕਦੇ ਨਹੀਂ ਚੱਲਦਾ। ਵਾਪਸੀ ਟ੍ਰੈਫਿਕ ਵਗਦੀ ਰਹੇ ਇਸ ਲਈ established ਅਤੇ related ਦਾ accept ਜੰਪ ਤੋਂ ਪਹਿਲਾਂ ਰੱਖੋ।

ਜਾਂਚੋ ਕਿ ਕੋਈ fasttrack ਨਿਯਮ ਇਸ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸੀਮਤ ਚੇਨ ਤੋਂ ਪਾਰ ਨਹੀਂ ਲੈ ਜਾ ਸਕਦਾ। Fasttrack ਫਿਲਟਰ ਰਾਹ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਬਚਾ ਲੈਂਦਾ ਹੈ, ਅਤੇ fasttrack ਕੀਤਾ ਸੀਮਤ ਸੈਸ਼ਨ ਬਿਲਕੁਲ ਵੀ ਸੀਮਤ ਨਹੀਂ ਹੁੰਦਾ।

ਜੇ ਰਾਊਟਰ ਦੀਆਂ ਆਪਣੀਆਂ ਸੇਵਾਵਾਂ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ ਤਾਂ input ਚੇਨ ਲਈ ਫੈਸਲਾ ਦੁਹਰਾਓ। ਅੱਗੇ ਭੇਜੀ ਟ੍ਰੈਫਿਕ ਰੋਕ ਕੇ winbox ਖੁੱਲ੍ਹਾ ਛੱਡਣ ਵਾਲਾ ਦਾਇਰਾ ਅੱਧਾ ਹੀ ਪੂਰਾ ਹੈ।

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

ਕਾਊਂਟਰ ਅਤੇ ਸੂਚੀ-ਸਦੱਸਤਾ ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ

ਕਲਾਇੰਟ ਤੋਂ ਮਨਜ਼ੂਰ ਸੇਵਾ ਅਤੇ ਉਹ ਸੇਵਾ ਜਾਂਚੋ ਜੋ ਅਸਫਲ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਫਿਰ ਰਾਊਟਰ 'ਤੇ ਨਿਯਮ ਅੰਕੜੇ ਪੜ੍ਹੋ। accept ਅਤੇ drop ਕਾਊਂਟਰ ਦਿਖਾਉਂਦੇ ਹਨ ਕਿ ਹਰ ਪੈਕਟ ਨੇ ਕਿਹੜਾ ਰਾਹ ਲਿਆ, ਜੋ ਕਲਾਇੰਟ ਨਹੀਂ ਦੇਖ ਸਕਦਾ। ਇਹ ਵੀ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਜੀਵਤ ਸੈਸ਼ਨ ਦਾ ਪਤਾ ਸੀਮਤ ਸੂਚੀ ਵਿੱਚ ਆਇਆ।

ਖਾਲੀ ਸੂਚੀ ਦਾ ਅਰਥ ਹੈ ਖਾਤਾ ਕਿਸੇ ਹੋਰ ਪ੍ਰੋਫਾਈਲ 'ਤੇ ਹੈ ਜਾਂ ਪ੍ਰੋਫਾਈਲ ਨੇ ਆਪਣੀ ਪਤਾ-ਸੂਚੀ ਸੈਟਿੰਗ ਗੁਆ ਦਿੱਤੀ ਹੈ। ਮਨਜ਼ੂਰ ਸੇਵਾ ਅਸਫਲ ਹੋਣ ਸਮੇਂ ਵਧਦਾ drop ਕਾਊਂਟਰ ਭਾਵ ਮੰਜ਼ਿਲ ਜਾਂ ਪੋਰਟ ਉਸ ਨਾਲ ਨਹੀਂ ਮਿਲਦਾ ਜੋ ਕਲਾਇੰਟ ਭੇਜਦਾ ਹੈ।

ਕੋਈ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹੀ ਸੇਵਾ ਨਾਮ ਅਤੇ ਪਤੇ ਨਾਲ ਜਾਂਚੋ। ਨਾਮ ਵਿਸ਼ਲੇਸ਼ਣ ਅਸਫਲਤਾ ਕਲਾਇੰਟ ਵੱਲੋਂ ਰੁਕੇ ਪੋਰਟ ਵਰਗੀ ਹੀ ਦਿਸਦੀ ਹੈ। ਫਿਰ ਪ੍ਰੋਫਾਈਲ, ਦੋਵੇਂ ਸੂਚੀਆਂ ਅਤੇ ਇੱਕੋ ਮਨਜ਼ੂਰ ਸੇਵਾ ਪਹੁੰਚ ਬੇਨਤੀ ਵਿੱਚ ਦਰਜ ਕਰੋ ਤਾਂ ਜੋ ਅਗਲੀ ਸਮੀਖਿਆ ਮੁੜ ਬਣਾਉਣ ਦੀ ਬਜਾਏ ਤੁਲਨਾ ਕਰੇ।

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients