Mtumiaji wa MikroTik VPN afikia mbali mno: weka kikomo kwa mwenyeji mmoja na bandari moja

Handaki linapanda, kuingia kunafaulu, na kila mwenyeji kwenye mtandao anajibu. Hii si VPN iliyovunjika; hii ni VPN isiyo na mfumo wa ruhusa. RouterOS huthibitisha akaunti kisha huelekeza pakiti zake kama za mtu mwingine yeyote, kwa hivyo ngome lazima itoe kikomo. Kuongeza kikomo hicho bila kuvunja kuingia ni kazi yote.

Uthibitishaji unaisha pale ruhusa inapoanza

Mara kikao cha PPP kinapopanda, pakiti za mteja huingia kwenye mnyororo wa forward kama trafiki kutoka kiolesura kingine chochote. Ikiwa sera ya forward ya kipanga-njia ni ya kuruhusu, mshauri hurithi ruhusa hiyo wakati wa kuingia. Akaunti haikuwahi kubeba wigo, kwa hivyo hakuna cha kubadilisha kwenye akaunti. Seti ya kanuni iliandikwa kwa ajili ya wafanyakazi na kikao kipya kilijiunga nayo tu.

Angalia ni njia ipi ombi linahusu kabla ya kuandika chochote. Trafiki kwa wenyeji walio nyuma ya kipanga-njia hupitia forward, wakati trafiki kwa kipanga-njia yenyewe, ikiwa ni pamoja na winbox na SSH, hupitia input. Wigo unaofunika forward pekee huacha kifaa wazi kwa mteja huyo huyo.

Minyororo yote miwili inahitaji uamuzi, hata uamuzi ukiwa ni kuacha input imefungwa. Chaguo hilo ni la ombi la ufikiaji, si la wazo la baadaye.

Ambatisha kikao na orodha yenye jina

Wasifu wa PPP unaweza kuweka anwani inayotoa kwenye orodha ya anwani yenye jina kikao kinapoanza. Hilo hubadilisha anwani ya handaki ya muda kuwa kitu ambacho ngome inaweza kulinganisha kwa jina, na kiingilio hutoweka kikao kinapoisha. Akaunti kisha hurithi wigo kutoka wasifu wake badala ya kanuni inayoweka anwani kwa uthabiti.

Unda wasifu kwanza, kisha funga secret kwake kwa uwazi. Secret ambayo bado inaelekeza kwenye wasifu chaguo-msingi huzalisha tena tatizo la awali.

Ipe wasifu na orodha majina ili kazi zao zionekane wazi, na toa maoni kwa zote mbili kwa kumbukumbu ya ombi. Wasifu mmoja unaweza kuhudumia watu kadhaa wenye wigo sawa, wakati orodha bado inatambua kila kikao hai. Hii ni nafuu kukagua kuliko kanuni kwa kila mtu.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Rekodi huduma inayoruhusiwa kwenye orodha moja

Weka seva inayoruhusiwa kwenye orodha yake ya anwani badala ya kupachika anwani kwenye kanuni ya kichujio. Orodha inaweza kukaguliwa, kupanuliwa na kutoa maoni, na kanuni inayoitumia haibadiliki seva inapohama. Kiingilio kimoja huonekana kuzidi hadi mwenyeji wa pili afike, jambo ambalo kawaida hufika.

Linganisha orodha wakati anwani ni ya kubadilika au imegawanywa kwa mzigo, na linganisha anwani moja kwa moja wakati imehifadhiwa na imara. Chaguo lolote linasomeka wazi ikiwa maoni yanataja huduma na mmiliki.

Weka kikomo kwa itifaki na bandari pamoja na mwenyeji. Accept kwa mwenyeji bila kikomo cha bandari hufungua kila huduma ambayo mwenyeji huyo anaendesha, jambo ambalo ni pana kuliko inavyokusudia maombi mengi ya ufikiaji. Bandari ni sehemu ya ruhusa, si maelezo yanayoongezwa baadaye.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Panga kuruka kabla ya accept yoyote pana

Kanuni ya kuruka hutuma trafiki iliyopelekwa mbele kutoka orodha yenye kikomo kwenye mnyororo wa faragha ambapo sera yote inatoshea katika mistari mitatu. Kanuni ya kwanza hukubali lengwa na bandari inayoruhusiwa, na ya mwisho hutupa kila kitu kingine. Kuruka lazima kusimame juu ya accept yoyote pana katika forward, kwa sababu accept ya awali inamaanisha kuruka hakuendi kamwe. Weka accept ya established na related kabla ya kuruka ili trafiki ya kurudi iendelee kutiririka.

Angalia kwamba hakuna kanuni ya fasttrack inayoweza kupeleka trafiki hii kupita mnyororo wenye kikomo. Fasttrack hupita njia nyingine ya kichujio, na kikao chenye kikomo kinachofanywa fasttrack hakina kikomo kabisa.

Rudia uamuzi kwa mnyororo wa input ikiwa huduma za kipanga-njia yenyewe zinapaswa kutosifikiwa. Wigo unaozuia trafiki iliyopelekwa mbele na kuacha winbox wazi umekamilika nusu tu.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Thibitisha kwa vihesabu na uanachama wa orodha

Kutoka kwa mteja, jaribu huduma inayoruhusiwa na moja ambayo lazima ishindwe, kisha soma takwimu za kanuni kwenye kipanga-njia. Vihesabu vya accept na drop vinaonyesha ni njia ipi kila pakiti ilichukua, jambo ambalo mteja hawezi kuona. Thibitisha pia kwamba anwani ya kikao hai ilionekana kwenye orodha yenye kikomo.

Orodha tupu inamaanisha akaunti iko kwenye wasifu mwingine au wasifu umepoteza mpangilio wake wa orodha ya anwani. Kihesabu cha drop kinachopanda wakati huduma inayoruhusiwa inashindwa kinamaanisha lengwa au bandari hailingani na kile mteja anachotuma.

Jaribu huduma hiyo hiyo kwa jina na kwa anwani kabla ya kuhitimisha chochote. Kushindwa kwa utatuzi wa majina huonekana kutoka upande wa mteja kama bandari iliyozuiwa. Kisha rekodi wasifu, orodha zote mbili na huduma moja inayoruhusiwa kwenye ombi la ufikiaji ili ukaguzi unaofuata ulinganishe badala ya kujenga upya.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients