Isticmaalaha MikroTik VPN wuu gaaraa meel aad u fog: ku xaddid hal marti-geliye iyo hal deked

Tunnel-ku wuu soo baxaa, gelitaanku wuu guulaystaa, marti-geliyuhu kasta oo shabakadda ku jira wuu jawaabaa. Taasi ma aha VPN jabtay; waa VPN aan lahayn qaab oggolaansho. RouterOS waxay xaqiijisaa akoonka ka dibna u jiheeyaa baakadihiisa sida qof kasta, sidaas darteed dab-demiska waa inuu bixiyaa xadka. Ku darista xadkaas iyada oo aan gelitaanka la jebin waa shaqada oo dhan.

Xaqiijinta waxay ku dhammaataa halka oggolaanshaha ka bilaabmo

Marka fadhi PPP soo baxo, baakadaha macmiilka waxay galaan silsiladda forward sida taraafikada interface kasta oo kale. Haddii siyaasadda forward ee router-ku tahay mid oggolaan leh, la-taliyuhu wuxuu dhaxlaa oggolaanshahaas marka uu galo. Akoonku waligiis ma qaadan baaxad, sidaas darteed waxba lagama beddeli karo akoonka. Xeerarka waxaa loo qoray shaqaalaha fadhiga cusubna si fudud ayuu ugu biiray.

Hubi waddada ay codsigu ku saabsan tahay ka hor intaadan wax qorin. Taraafikada marti-geliyayaasha ka dambeeya router-ka waxay maraan forward, halka taraafikada router-ka laftiisa, oo ay ku jiraan winbox iyo SSH, ay maraan input. Baaxad daboolaysa forward oo keliya waxay qalabka uga tagtaa furan macmiil islaas.

Labada silsiladoodba waxay u baahan yihiin go'aan, xitaa haddii go'aanku yahay in input la daayo xiran. Doorashadaas waxay ka tirsan tahay codsiga gelitaanka, ma aha fikrad dambe.

Ku xir fadhiga liis magac leh

Borofaylka PPP wuxuu cinwaanka uu bixiyo gelin karaa liis cinwaanno magac leh marka fadhigu bilaabmo. Taasi waxay cinwaanka tunnel-ka ku meel gaadhka ah u beddeshaa wax dab-demiska ku matali karo magac ahaan, gelitaankuna wuu baaba'aa marka fadhigu dhammaado. Akoonka markaas wuxuu baaxadda ka dhaxlaa borofaylkiisa halkii uu ka dhaxli lahaa xeer cinwaanka si adag u qora.

Marka hore samee borofaylka, ka dib si cad secret ugu xir. Secret weli tilmaamaya borofaylka caadiga ah wuxuu dib u soo saaraa dhibaatada asalka ah.

U magacow borofaylka iyo liiska si ay shaqooyinkoodu u caddaadaan, oo labadaba ku faallee tixraaca codsiga. Hal borofayl wuxuu u adeegi karaa dhowr qof oo isla baaxad leh, halka liisku weli aqoonsado fadhi kasta oo nool. Taasi way ka jaban tahay dib u eegista xeer qof kasta.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Diiwaangeli adeegga loo oggolaaday hal liis

Serverka loo oggolaaday geli liiskiisa cinwaanno gaar ah halkii aad cinwaanka ku dhex gelin lahayd xeer shaandhayn. Liiska waa la hagi karaa, la ballaarin karaa oo la faallayn karaa, xeerkana isticmaala ma beddelo marka serverku guuro. Hal gelitaan wuxuu u muuqdaa mid xad-dhaaf ah ilaa marti-geliyaha labaad yimaado, taas oo badanaa dhacda.

La mashiixi liis marka cinwaanku yahay mid firfircoon ama culeyska loo qaybiyay, oo si toos ah u mashiixi cinwaanka marka uu yahay mid la kaydiyay oo deggan. Doorasho kasta si cad ayaa loo akhriyaa haddii faalladu sheegto adeegga iyo mulkiilaha.

Xaddid borotokoolka iyo dekedda sidoo kale marti-geliyaha. Accept marti-geliye aan lahayn xaddidaad deked wuxuu furaa adeeg kasta oo marti-geliyahaas maamulo, taas oo ka ballaaran waxa ay badi codsiyada gelitaanku u jeedaan. Dekeddu waa qayb ka mid ah oggolaanshaha, ma aha faahfaahin dambe lagu daro.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

U habee boodhka ka hor accept kasta oo ballaaran

Xeerta boodhku waxay taraafikada loo gudbiyay ka diri liiska xaddidan gelisaa silsilad gaar ah halka siyaasadda oo dhan ay ku habboonaato saddex sadar. Xeerta koowaad waxay aqbashaa meesha loo oggolaaday iyo dekedda, tan ugu dambaysana waxay tuurtaa wax kasta oo kale. Boodhku waa inuu ka sareeya forward accept kasta oo ballaaran, sababtoo ah accept hore macnaheedu waa boodhku waligiis ma socdo. Hayso accept established iyo related ka hor boodhka si taraafikada soo noqodka ay u sii socoto.

Hubi in aanu xeer fasttrack ah qaadi karin taraafikadan silsiladda xaddidan agteeda. Fasttrack wuxuu dhaafaa inta kale ee waddada shaandhaynta, fadhiga xaddidan ee fasttrack la sameeyayna sinnaba ma xaddidna.

Ku celi go'aanka silsiladda input haddii adeegyada router-ka laftiisa ay tahay in aan la gaari karin. Baaxadda joojisa taraafikada loo gudbiyay oo winbox furan uga tagtaa waa badh uun dhammaad.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Ku xaqiiji tirakoobka iyo xubinimada liiska

Macmiilka ka tijaabi adeegga loo oggolaaday iyo mid ay tahay inuu ku guuldareysto, ka dib akhri tirakoobka xeerarka router-ka. Tirakoobka accept iyo drop waxay muujinayaan waddada ay baakad kastaa qaaday, taas oo macmiilku arki karin. Sidoo kale xaqiiji in cinwaanka fadhiga nool uu ka soo muuqday liiska xaddidan.

Liis madhan waxay ka dhigan tahay in akoonku ku jiro borofayl kale ama borofaylku lumiyay dejinta liiska cinwaannada. Tirakoobka drop oo kor u kaca iyada oo adeegga loo oggolaaday uu ku guuldareysto waxay ka dhigan tahay in meesha ama dekeddu aysan la mid ahayn waxa macmiilku diro.

Tijaabi isla adeeggaas magac iyo cinwaan labadaba ka hor intaadan wax soo gabagabeyn. Guuldareysta xallinta magacyada ayaa macmiilka ka muuqata sida deked xiran. Ka dib diiwaangeli borofaylka, labada liis iyo adeegga keliya ee loo oggolaaday codsiga gelitaanka si dib u eegista xigta ay is barbar dhigto halkii ay dib u dhis lahayd.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients