Uporabnik MikroTik VPN sega predaleč: omejite na enega gostitelja in ena vrata

Tunel se dvigne, prijava uspe in vsak gostitelj v omrežju odgovori. To ni pokvarjen VPN; to je VPN brez modela dovoljenj. RouterOS overi račun in nato usmerja njegove pakete kot vse druge, zato mora mejo zagotoviti požarni zid. Dodati to mejo, ne da bi zlomili prijavo, je vse delo.

Preverjanje pristnosti se konča tam, kjer se začne dovoljenje

Ko je seja PPP dvignjena, paketi odjemalca vstopijo v verigo forward kot promet s katerega koli drugega vmesnika. Če je forward politika usmerjevalnika popustljiva, svetovalec to popustljivost podeduje ob prijavi. Račun nikoli ni nosil obsega, zato na računu ni ničesar za spremeniti. Nabor pravil je bil napisan za zaposlene in nova seja se mu je preprosto pridružila.

Preden karkoli napišete, preverite, na katero pot se zahteva nanaša. Promet do gostiteljev za usmerjevalnikom gre skozi forward, medtem ko promet do samega usmerjevalnika, vključno z winboxom in SSH, gre skozi input. Obseg, ki pokriva samo forward, pusti napravo odprto za istega odjemalca.

Obe verigi potrebujeta odločitev, tudi če je odločitev pustiti input zaprt. Ta izbira spada v zahtevo za dostop, ne v poznejšo misel.

Povežite sejo z imenovanim seznamom

Profil PPP lahko ob začetku seje naslov, ki ga dodeli, vstavi na imenovani seznam naslovov. To spremeni prehodni naslov tunela v nekaj, kar lahko požarni zid uskladi po imenu, in vnos izgine, ko se seja konča. Račun nato obseg podeduje od svojega profila, ne od pravila, ki naslov trdo kodira.

Najprej ustvarite profil, nato secret izrecno privežite nanj. Secret, ki še vedno kaže na privzeti profil, ponovno ustvari prvotno težavo.

Poimenujte profil in seznam tako, da bosta njuni nalogi očitni, in oba komentirajte s sklicem na zahtevo. En profil lahko služi več ljudem z istim obsegom, seznam pa še vedno prepozna vsako živo sejo. To je ceneje za pregled kot pravilo na osebo.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Zabeležite dovoljeno storitev na en seznam

Postavite dovoljeni strežnik na njegov lastni seznam naslovov, namesto da naslov vgradite v filtrirno pravilo. Seznam je mogoče revidirati, razširiti in komentirati, pravilo, ki ga uporablja, pa se ob premiku strežnika ne spremeni. En vnos se zdi pretiran, dokler ne pride drugi gostitelj, kar se običajno zgodi.

Uskladite seznam, ko je naslov dinamičen ali porazdeljen, in uskladite naslov neposredno, ko je rezerviran in stabilen. Obe izbiri se jasno bereta, če komentar poimenuje storitev in lastnika.

Omejite protokol in vrata prav tako kot gostitelja. Accept za gostitelja brez omejitve vrat odpre vsako storitev, ki jo gostitelj izvaja, kar je širše, kot namerava večina zahtev za dostop. Vrata so del dovoljenja, ne podrobnost, ki se doda pozneje.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Skočnico razvrstite pred vsakim širokim accept

Pravilo skoka pošlje posredovani promet z omejenega seznama v zasebno verigo, kjer se celotna politika prilega v tri vrstice. Prvo pravilo sprejme dovoljeni cilj in vrata, zadnje zavrže vse ostalo. Skok mora stati nad vsakim širokim accept v forward, ker prejšnji accept pomeni, da skok nikoli ne steče. Accept za established in related držite pred skokom, da povratni promet še vedno teče.

Preverite, da nobeno pravilo fasttrack ne more tega prometa peljati mimo omejene verige. Fasttrack obide preostanek filtrirne poti in omejena seja, ki gre skozi fasttrack, sploh ni omejena.

Ponovite odločitev za verigo input, če naj bodo storitve samega usmerjevalnika nedosegljive. Obseg, ki blokira posredovani promet in pusti winbox odprt, je le na pol končan.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Preverite s števci in članstvom na seznamu

Na odjemalcu preizkusite dovoljeno storitev in eno, ki mora spodleteti, nato preberite statistiko pravil na usmerjevalniku. Števca accept in drop pokažeta, po kateri poti je šel vsak paket, česar odjemalec ne more videti. Potrdite tudi, da se je naslov žive seje pojavil na omejenem seznamu.

Prazen seznam pomeni, da je račun na drugem profilu ali da je profil izgubil nastavitev seznama naslovov. Naraščajoči števec drop ob spodletelem dovoljenem servisu pomeni, da se cilj ali vrata ne ujemata s tem, kar odjemalec pošilja.

Preizkusite isto storitev po imenu in po naslovu, preden karkoli sklepate. Napaka pri razreševanju imen je z odjemalčeve strani videti natanko kot blokirana vrata. Nato zabeležite profil, oba seznama in edino dovoljeno storitev v zahtevo za dostop, da bo naslednji pregled primerjal, namesto da bi obnavljal.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients