Përdoruesi i MikroTik VPN arrin shumë larg: kufizojeni në një host dhe një port

Tuneli ngrihet, hyrja ka sukses dhe çdo host në rrjet përgjigjet. Ky nuk është VPN i prishur; ky është VPN pa model lejesh. RouterOS vërteton llogarinë dhe më pas i drejton paketat e saj si të kujtdo tjetër, prandaj muri i zjarrit duhet të sigurojë kufirin. Shtimi i atij kufiri pa prishur hyrjen është e gjithë puna.

Vërtetimi mbaron aty ku fillon leja

Sapo sesioni PPP është ngritur, paketat e klientit hyjnë në zinxhirin forward si trafiku nga çdo ndërfaqe tjetër. Nëse politika forward e ruterit është lejuese, konsulenti e trashëgon atë lejueshmëri në hyrje. Llogaria nuk mbante kurrë një shtrirje, prandaj nuk ka asgjë për të ndryshuar në llogari. Grupi i rregullave u shkrua për punonjësit dhe sesioni i ri thjesht iu bashkua atij.

Kontrolloni për cilën rrugë bëhet fjalë kërkesa përpara se të shkruani ndonjë gjë. Trafiku drejt hosteve pas ruterit kalon nëpër forward, ndërsa trafiku drejt vetë ruterit, duke përfshirë winbox dhe SSH, kalon nëpër input. Një shtrirje që mbulon vetëm forward e lë pajisjen të hapur për të njëjtin klient.

Të dy zinxhirët kanë nevojë për një vendim, edhe nëse vendimi është ta lini input të mbyllur. Ai zgjedhje i përket kërkesës për akses, jo një mendimi të mëvonshëm.

Lidhni sesionin me një listë të emërtuar

Një profil PPP mund ta vendosë adresën që jep në një listë adresash të emërtuar kur fillon sesioni. Kjo e kthen një adresë tuneli kalimtare në diçka që muri i zjarrit mund ta përputhë sipas emrit, dhe zëri zhduket kur sesioni mbaron. Llogaria pastaj e trashëgon shtrirjen nga profili i saj dhe jo nga një rregull që e kodon adresën në mënyrë të ngurtë.

Krijojeni profilin së pari, pastaj lidhni secret-in me të në mënyrë eksplicite. Një secret që vazhdon të tregojë profilin e parazgjedhur riprodhon problemin fillestar.

Emërtojeni profilin dhe listën në mënyrë që detyrat e tyre të jenë të dukshme, dhe komentojini të dyja me referencën e kërkesës. Një profil mund t'u shërbejë disa njerëzve me të njëjtën shtrirje, ndërsa lista vazhdon të identifikojë çdo sesion të gjallë. Kjo është më e lirë për t'u rishikuar sesa një rregull për person.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Regjistroni shërbimin e lejuar në një listë

Vendoseni serverin e lejuar në listën e vet të adresave në vend që ta futni adresën në një rregull filtri. Lista mund të auditohet, zgjerohet dhe komentohet, dhe rregulli që e përdor nuk ndryshon kur serveri zhvendoset. Një zë i vetëm duket i tepërt derisa të vijë hosti i dytë, gjë që zakonisht ndodh.

Përputhni një listë kur adresa është dinamike ose e shpërndarë, dhe përputhni adresën drejtpërdrejt kur është e rezervuar dhe e qëndrueshme. Të dyja zgjedhjet lexohen qartë nëse komenti emërton shërbimin dhe pronarin.

Kufizoni protokollin dhe portin po aq sa hostin. Një accept për një host pa kufizim porti hap çdo shërbim që ai host ekzekuton, çka është më e gjerë sesa synojnë shumica e kërkesave për akses. Porti është pjesë e lejes, jo një detaj që shtohet më vonë.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Renditeni kërcimin përpara çdo accept të gjerë

Një rregull kërcimi dërgon trafikun e përcjellë nga lista e kufizuar në një zinxhir privat ku e gjithë politika futet në tre rreshta. Rregulli i parë pranon destinacionin dhe portin e lejuar, dhe i fundit hedh gjithçka tjetër. Kërcimi duhet të qëndrojë mbi çdo accept të gjerë në forward, sepse një accept i mëparshëm do të thotë që kërcimi nuk ekzekutohet kurrë. Mbani accept-in për established dhe related përpara kërcimit që trafiku i kthimit të vazhdojë të rrjedhë.

Kontrolloni që asnjë rregull fasttrack nuk mund ta çojë këtë trafik përtej zinxhirit të kufizuar. Fasttrack anashkalon pjesën tjetër të rrugës së filtrit, dhe një sesion i kufizuar që kalon nga fasttrack nuk është aspak i kufizuar.

Përsëriteni vendimin për zinxhirin input nëse shërbimet e vetë ruterit duhet të jenë të paarritshme. Një shtrirje që bllokon trafikun e përcjellë dhe lë winbox të hapur është vetëm gjysmë e përfunduar.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Verifikoni me numërues dhe anëtarësi në listë

Nga klienti, provoni shërbimin e lejuar dhe një që duhet të dështojë, më pas lexoni statistikat e rregullave në ruter. Numëruesit accept dhe drop tregojnë cilën rrugë mori çdo paketë, gjë që klienti nuk mund ta shohë. Konfirmoni gjithashtu që adresa e sesionit të gjallë u shfaq në listën e kufizuar.

Një listë bosh do të thotë që llogaria është në një profil tjetër ose profili humbi cilësimin e listës së adresave. Një numërues drop që ngjitet ndërsa shërbimi i lejuar dështon do të thotë që destinacioni ose porti nuk përputhen me atë që dërgon klienti.

Provoni të njëjtin shërbim sipas emrit dhe sipas adresës përpara se të nxirrni ndonjë përfundim. Një dështim i zgjidhjes së emrave duket nga ana e klientit saktësisht si një port i bllokuar. Më pas regjistroni profilin, të dyja listat dhe shërbimin e vetëm të lejuar në kërkesën për akses, që rishikimi i radhës të krahasojë në vend që të rindërtojë.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients