د MikroTik VPN کاروونکی ډېر لرې رسېږي: یو هوسټ او یو پورټ ته یې محدود کړئ

ټنل پورته راځي، ننوتل بریالي کېږي، او په شبکه کې هر هوسټ ځواب وایي۔ دا مات VPN نه دی؛ دا د اجازې ماډل پرته VPN دی۔ RouterOS حساب تصدیقوي او بیا یې پاکټونه د نورو خلکو په څېر لارښوونه کوي، نو بړېد باید حد ورکړي۔ د ننوتلو پرته د دې حد اضافه کول ټول کار دی۔

تصدیق هغه ځای پای ته رسېږي چې اجازه پیلېږي

کله چې د PPP غونډه پورته شي، د کاروونکي پاکټونه د بل هر انټرفېس ترافیک په څېر forward زنځیر ته ننوځي۔ که د روټر forward تګلاره اجازه ورکوونکې وي، سلاکار د ننوتلو پر مهال هغه اجازه میراث اخلي۔ حساب هېچ کله کومه حوزه نه ده وړې، نو په حساب کې د بدلولو څه نشته۔ د قواعدو ټولګه د کارکوونکو لپاره لیکل شوې وه او نوي غونډې یوازې ورسره یوځای شوه۔

مخکې له دې چې څه ولیکئ، وګورئ چې غوښتنه کومې لارې ته اړه لري۔ د روټر تر شا هوسټونو ته ترافیک forward تېرېږي، په داسې حال کې چې خود روټر ته ترافیک، winbox او SSH په ګډون، input تېرېږي۔ یوازې forward پوښونکې حوزه وسیله د همدې کاروونکي لپاره پرانیستې پرېږدي۔

دواړه زنځیرونه پریکړې ته اړتیا لري، حتی که پریکړه دا وي چې input بند پاتې شي۔ هغه انتخاب د لاسرسي غوښتنې پورې اړه لري، نه وروسته فکر پورې۔

غونډه نومول شوې لیست سره ونښلوه

د PPP پروفایل کولی شي هغه پته چې ورکوي د غونډې پیل پر مهال په نومول شوې پته لیست کې واچوي۔ دا لنډمهاله ټنل پته په داسې شي بدلوي چې بړېد یې په نوم سره سمون کولی شي، او ننوتنه د غونډې په پای کې ورکېږي۔ بیا حساب حوزه د خپل پروفایل څخه میراث اخلي، نه د هغې قاعدې څخه چې پته کلکه کوډ کوي۔

لومړی پروفایل جوړ کړئ، بیا secret په ښکاره توګه ورسره وتړئ۔ هغه secret چې لا هم اصلي پروفایل ته اشاره کوي، اصلي ستونزه بیا پیدا کوي۔

پروفایل او لیست داسې ونوموئ چې د دوی دندې ښکاره وي، او دواړو ته د غوښتنې د حوالې سره تبصره ورزیات کړئ۔ یو پروفایل کولی شي څو کسانو ته د یوې حوزې سره خدمت وکړي، په داسې حال کې چې لیست لا هم هر ژوندی غونډه پېژني۔ دا د هر کس لپاره د یوې قاعدې په پرتله د بیاکتنې لپاره ارزانه دی۔

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

اجازه ورکړل شوې خدمت په یو لیست کې ثبت کړئ

اجازه ورکړل شوی سرور په خپل پته لیست کې کېږدئ، نه دا چې پته د فلټر قاعدې دننه کړئ۔ لیست کولی شي بیاکتنه، پراخول او تبصره شي، او هغه قاعده چې کاروي یې د سرور په لېږد سره نه بدلېږي۔ یوه ننوتنه تر دوهم هوسټ پورې ډېره ښکاري، چې معمولاً راځي۔

لیست سره سمون کړئ کله چې پته متحرک یا پر بار ووېشل شوې وي، او پته مستقیم سره سمون کړئ کله چې ژغورل شوې او ثابته وي۔ که تبصره خدمت او مالک ونوموي، دواړه انتخابونه روښانه لوستل کېږي۔

د هوسټ سره یوځای پروتوکول او پورټ هم محدود کړئ۔ د پورټ محدودیت پرته هوسټ لپاره accept هره هغه خدمت خلاصوي چې هغه هوسټ چلوي، چې د ډېرو لاسرسي غوښتنو له ارادې پراختر دی۔ پورټ د اجازې برخه ده، نه هغه تفصیل چې وروسته ورزیات شي۔

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

ټوپ له هرې پراخې accept دمخه ترتیب کړئ

د ټوپ قاعده محدود لیست څخه لېږل شوی ترافیک یوې خصوصي زنځیر ته استوي چې هلته ټوله تګلاره په درې کرښو کې ځای شي۔ لومړۍ قاعده اجازه ورکړل شوی منزل او پورټ مني، او وروستۍ قاعده نور ټول غورځوي۔ ټوپ باید په forward کې د هرې پراخې accept له پاسني وي، ځکه چې دمخه accept معنا دا ده چې ټوپ هېچ کله نه ځغلېږي۔ established او related لپاره accept د ټوپ دمخه وساتئ تر څو د بیرته ترافیک بهیر روان وي۔

وګورئ چې هېڅ fasttrack قاعده نشي کولی دا ترافیک محدودې زنځیرې ته څنګ ته یوسي۔ Fasttrack د فلټر د لارې پاتې برخه پرېږدي، او هغه محدوده غونډه چې fasttrack شي هېڅ هم محدوده نه ده۔

که د روټر خپل خدمتونه باید نه لاسرسي وړ وي، د input زنځیر لپاره پریکړه تکرار کړئ۔ هغه حوزه چې لېږل شوی ترافیک بندوي او winbox پرانیستی پرېږدي، یوازې نیمګړې ده۔

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

په شمېرونکو او لیست غړیتوب سره تایید کړئ

له کاروونکي څخه اجازه ورکړل شوې خدمت او یو هغه خدمت وازموئ چې باید پاتې راشي، بیا په روټر کې د قواعدو احصایې ولولئ۔ accept او drop شمېرونکي ښیي چې هر پاکټ کومه لار ونیوله، کوم چې کاروونکی نه شي لیدلی۔ همدا راز تایید کړئ چې د ژوندي غونډې پته په محدود لیست کې ښکاره شوه۔

تش لیست معنا دا ده چې حساب بل پروفایل کې دی یا پروفایل خپله پته لیست تنظیم له لاسه ورکړی۔ د drop شمېرونکی پورته کېدل کله چې اجازه ورکړل شوې خدمت پاتې راځي، معنا دا ده چې منزل یا پورټ د کاروونکي د لېږل شوي سره سمون نه لري۔

مخکې له هرې نتیجې همدا خدمت په نوم او په پته وازموئ۔ د نوم تحلیل پاتې راتلل له کاروونکي اړخه دقیقاً د بند پورټ په څېر ښکاري۔ بیا پروفایل، دواړه لیستونه او یوازینی اجازه ورکړل شوی خدمت د لاسرسي غوښتنې کې ثبت کړئ تر څو بله بیاکتنه د بیا جوړولو پرځای پرتله وکړي۔

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients