MikroTik VPN பயனர் மிகத் தொலைவு செல்கிறார்: ஒரு புரவலன் மற்றும் ஒரு துறைமுகத்திற்கு வரம்பிடுங்கள்

சுரங்கப்பாதை எழுகிறது, உள்நுழைவு வெற்றி பெறுகிறது, வலையமைப்பின் ஒவ்வொரு புரவலனும் பதிலளிக்கிறது. இது பழுதடைந்த VPN அல்ல; இது அனுமதி மாதிரி இல்லாத VPN. RouterOS கணக்கை அங்கீகரித்து பின்னர் அதன் பொதிகளை மற்றவற்றைப் போலவே வழிநடத்துகிறது, எனவே வரம்பை தீச்சுவர் வழங்க வேண்டும். உள்நுழைவை உடைக்காமல் அந்த வரம்பைச் சேர்ப்பதே முழு வேலை.

அங்கீகாரம் அனுமதி தொடங்கும் இடத்தில் முடிகிறது

PPP அமர்வு எழுந்தவுடன் வாடிக்கையாளரின் பொதிகள் வேறு எந்த இடைமுகத்தின் போக்குவரத்தைப் போலவே forward சங்கிலியில் நுழைகின்றன. வழியமைப்பாளரின் forward கொள்கை அனுமதிக்கும் தன்மையுடையதாக இருந்தால், ஆலோசகர் உள்நுழையும்போது அந்த அனுமதியை வாரிசாகப் பெறுகிறார். கணக்கு ஒருபோதும் எந்த எல்லையையும் சுமக்கவில்லை, எனவே கணக்கில் மாற்றுவதற்கு எதுவும் இல்லை. விதித் தொகுப்பு ஊழியர்களுக்காக எழுதப்பட்டது, புதிய அமர்வு அதில் சேர்ந்தது மட்டுமே.

எதையும் எழுதுவதற்கு முன் கோரிக்கை எந்தப் பாதையைச் சார்ந்தது என்பதைச் சரிபார்க்கவும். வழியமைப்பாளருக்குப் பின்னால் உள்ள புரவலர்களுக்கான போக்குவரத்து forward வழியாகச் செல்கிறது, அதேசமயம் வழியமைப்பாளரையே நோக்கிய போக்குவரத்து, winbox மற்றும் SSH உட்பட, input வழியாகச் செல்கிறது. forward மட்டும் உள்ளடக்கும் எல்லை சாதனத்தை அதே வாடிக்கையாளருக்குத் திறந்தே வைக்கிறது.

இரு சங்கிலிகளுக்கும் ஒரு முடிவு தேவை, முடிவு input ஐ மூடி வைப்பதாக இருந்தாலும். அந்தத் தேர்வு அணுகல் கோரிக்கைக்கு உரியது, பின்னர் வரும் சிந்தனைக்கு அல்ல.

அமர்வைப் பெயரிடப்பட்ட பட்டியலுடன் இணைக்கவும்

PPP சுயவிவரம் அமர்வு தொடங்கும்போது வழங்கும் முகவரியைப் பெயரிடப்பட்ட முகவரிப் பட்டியலில் வைக்கலாம். அது தற்காலிக சுரங்கப்பாதை முகவரியை தீச்சுவர் பெயரால் பொருத்தக்கூடிய ஒன்றாக மாற்றுகிறது, அமர்வு முடிந்ததும் உள்ளீடு மறைகிறது. பின்னர் கணக்கு முகவரியைக் கடினமாகக் குறியாக்கும் விதியிலிருந்து அல்ல, தன் சுயவிவரத்திலிருந்து எல்லையை வாரிசாகப் பெறுகிறது.

முதலில் சுயவிவரத்தை உருவாக்கி, பின்னர் secret ஐ வெளிப்படையாக அதனுடன் இணைக்கவும். இயல்புநிலை சுயவிவரத்தை நோக்கும் secret மூலச் சிக்கலை மீண்டும் உருவாக்குகிறது.

சுயவிவரத்திற்கும் பட்டியலுக்கும் அவற்றின் பணிகள் தெளிவாக இருக்கும்படி பெயரிடுங்கள், இரண்டிற்கும் கோரிக்கையின் குறிப்புடன் கருத்து சேர்க்கவும். ஒரு சுயவிவரம் ஒரே எல்லையுடன் பலருக்கு சேவை செய்யலாம், பட்டியல் இன்னும் ஒவ்வொரு உயிருள்ள அமர்வையும் அடையாளம் காட்டுகிறது. ஒவ்வொரு நபருக்கும் ஒரு விதியை விட இது மறுபார்வைக்கு மலிவு.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

அனுமதிக்கப்பட்ட சேவையை ஒரு பட்டியலில் பதிவு செய்யவும்

அனுமதிக்கப்பட்ட சேவையகத்தை வடிகட்டி விதியில் முகவரியைப் பதிக்காமல் அதன் சொந்த முகவரிப் பட்டியலில் வைக்கவும். பட்டியலைத் தணிக்கை செய்யலாம், விரிவாக்கலாம், கருத்து சேர்க்கலாம், சேவையகம் நகர்ந்தாலும் அதைப் பயன்படுத்தும் விதி மாறாது. ஒரு உள்ளீடு இரண்டாவது புரவலன் வரும்வரை அதிகமாகத் தெரிகிறது, அது பொதுவாக வரும்.

முகவரி மாறும் அல்லது சுமையால் பிரிக்கப்பட்டதாக இருந்தால் பட்டியலைப் பொருத்துங்கள், ஒதுக்கப்பட்டதாகவும் நிலையானதாகவும் இருந்தால் முகவரியை நேரடியாகப் பொருத்துங்கள். கருத்து சேவையையும் உரிமையாளரையும் குறிப்பிட்டால் எந்தத் தேர்வும் தெளிவாகப் படிக்கப்படும்.

புரவலனுடன் புரோட்டோகால் மற்றும் துறைமுகத்தையும் வரம்பிடுங்கள். துறைமுகக் கட்டுப்பாடு இல்லாத புரவலனுக்கான accept அந்தப் புரவலன் இயக்கும் ஒவ்வொரு சேவையையும் திறக்கிறது, இது பெரும்பாலான அணுகல் கோரிக்கைகள் நோக்குவதை விட பரந்தது. துறைமுகம் அனுமதியின் பகுதி, பின்னர் சேர்க்கப்படும் விவரம் அல்ல.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

எந்த பரந்த accept க்கும் முன் ஜம்ப்பை வரிசைப்படுத்துங்கள்

ஜம்ப் விதி வரம்புக்குட்பட்ட பட்டியலிலிருந்து அனுப்பப்பட்ட போக்குவரத்தை முழுக் கொள்கையும் மூன்று வரிகளில் பொருந்தும் தனிப்பட்ட சங்கிலிக்கு அனுப்புகிறது. முதல் விதி அனுமதிக்கப்பட்ட இலக்கையும் துறைமுகத்தையும் ஏற்கிறது, கடைசி விதி மற்ற அனைத்தையும் வீழ்த்துகிறது. ஜம்ப் forward இல் எந்த பரந்த accept க்கும் மேலே இருக்க வேண்டும், ஏனெனில் முந்தைய accept என்பது ஜம்ப் ஒருபோதும் இயங்காது என்பதாகும். திரும்பும் போக்குவரத்து தொடர்ந்து பாய, established மற்றும் related க்கான accept ஐ ஜம்ப்புக்கு முன் வைக்கவும்.

எந்த fasttrack விதியும் இந்தப் போக்குவரத்தை வரம்புக்குட்பட்ட சங்கிலிக்கு அப்பால் கொண்டு செல்ல முடியாது என்பதைச் சரிபார்க்கவும். Fasttrack வடிகட்டி பாதையின் மீதியைத் தவிர்க்கிறது, fasttrack செய்யப்பட்ட வரம்புக்குட்பட்ட அமர்வு எந்த வகையிலும் வரம்புக்குட்பட்டதல்ல.

வழியமைப்பாளரின் சொந்த சேவைகள் அணுக முடியாததாக இருக்க வேண்டுமெனில் input சங்கிலிக்கும் முடிவை மீண்டும் செய்யுங்கள். அனுப்பப்பட்ட போக்குவரத்தைத் தடுத்து winbox ஐத் திறந்து வைக்கும் எல்லை பாதி மட்டுமே முடிந்தது.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

எண்ணிகள் மற்றும் பட்டியல் உறுப்பினர் நிலையுடன் சரிபார்க்கவும்

வாடிக்கையாளரிடமிருந்து அனுமதிக்கப்பட்ட சேவையையும் தோல்வியடைய வேண்டிய ஒன்றையும் சோதித்து, பின்னர் வழியமைப்பாளரில் விதிப் புள்ளிவிவரங்களைப் படியுங்கள். accept மற்றும் drop எண்ணிகள் ஒவ்வொரு பொதியும் எந்தப் பாதையை எடுத்தது என்பதைக் காட்டுகின்றன, அதை வாடிக்கையாளர் பார்க்க முடியாது. உயிருள்ள அமர்வின் முகவரி வரம்புக்குட்பட்ட பட்டியலில் தோன்றியதையும் உறுதிசெய்யுங்கள்.

காலி பட்டியல் என்பது கணக்கு வேறு சுயவிவரத்தில் உள்ளது அல்லது சுயவிவரம் அதன் முகவரிப் பட்டியல் அமைப்பை இழந்துவிட்டது. அனுமதிக்கப்பட்ட சேவை தோல்வியடையும்போது drop எண்ணி உயர்வது இலக்கு அல்லது துறைமுகம் வாடிக்கையாளர் அனுப்புவதுடன் பொருந்தவில்லை என்பதாகும்.

எந்த முடிவுக்கும் வருவதற்கு முன் அதே சேவையைப் பெயராலும் முகவரியாலும் சோதிக்கவும். பெயர் தீர்வு தோல்வி வாடிக்கையாளர் பக்கத்திலிருந்து தடுக்கப்பட்ட துறைமுகம் போலவே தெரிகிறது. பின்னர் சுயவிவரம், இரு பட்டியல்கள் மற்றும் ஒரே அனுமதிக்கப்பட்ட சேவையை அணுகல் கோரிக்கையில் பதிவு செய்யுங்கள், அடுத்த மறுபார்வை மீண்டும் கட்டுவதற்குப் பதிலாக ஒப்பிடும்.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients