MikroTik VPN వినియోగదారు చాలా దూరం చేరుతున్నారు: ఒక హోస్ట్ మరియు ఒక పోర్ట్కు పరిమితం చేయండి

టన్నెల్ పైకి వస్తుంది, లాగిన్ విజయవంతమవుతుంది, మరియు నెట్వర్క్లోని ప్రతి హోస్ట్ సమాధానం ఇస్తుంది. ఇది పాడైన VPN కాదు; ఇది అనుమతి నమూనా లేని VPN. RouterOS ఖాతాను ప్రామాణీకరించి తర్వాత దాని ప్యాకెట్లను ఇతరులవి లాగానే మార్గనిర్దేశం చేస్తుంది, కాబట్టి పరిమితిని ఫైర్వాల్ అందించాలి. లాగిన్ పగలకుండా ఆ పరిమితిని జోడించడమే మొత్తం పని.

ప్రామాణీకరణ అనుమతి ప్రారంభమయ్యే చోట ముగుస్తుంది

PPP సెషన్ పైకి వచ్చాక క్లయింట్ ప్యాకెట్లు ఏదైనా ఇతర ఇంటర్ఫేస్ ట్రాఫిక్ లాగానే forward గొలుసులోకి ప్రవేశిస్తాయి. రౌటర్ forward విధానం అనుమతించేదిగా ఉంటే, సలహాదారు లాగిన్ సమయంలో ఆ అనుమతిని వారసత్వంగా పొందుతారు. ఖాతా ఎప్పుడూ ఏ పరిధినీ మోయలేదు, కాబట్టి ఖాతాలో మార్చడానికి ఏమీ లేదు. నియమాల సముదాయం ఉద్యోగుల కోసం రాయబడింది మరియు కొత్త సెషన్ దానిలో చేరింది మాత్రమే.

ఏదైనా రాయడానికి ముందు అభ్యర్థన ఏ మార్గానికి సంబంధించిందో తనిఖీ చేయండి. రౌటర్ వెనుక ఉన్న హోస్ట్లకు ట్రాఫిక్ forward గుండా వెళ్తుంది, అయితే రౌటర్కే వెళ్లే ట్రాఫిక్, winbox మరియు SSHతో సహా, input గుండా వెళ్తుంది. forward మాత్రమే కవర్ చేసే పరిధి పరికరాన్ని అదే క్లయింట్కు తెరిచి ఉంచుతుంది.

రెండు గొలుసులకూ నిర్ణయం కావాలి, నిర్ణయం input మూసి ఉంచడమే అయినా. ఆ ఎంపిక ప్రాప్యత అభ్యర్థనకు చెందుతుంది, తర్వాతి ఆలోచనకు కాదు.

సెషన్ను పేరున్న జాబితాకు జోడించండి

PPP ప్రొఫైల్ సెషన్ ప్రారంభమైనప్పుడు ఇచ్చే చిరునామాను పేరున్న చిరునామా జాబితాలో పెట్టగలదు. అది తాత్కాలిక టన్నెల్ చిరునామాను ఫైర్వాల్ పేరుతో సరిపోల్చగలిగేదిగా మారుస్తుంది, సెషన్ ముగిసినప్పుడు నమోదు అదృశ్యమవుతుంది. తర్వాత ఖాతా చిరునామాను కఠినంగా కోడ్ చేసే నియమం నుంచి కాక తన ప్రొఫైల్ నుంచి పరిధిని వారసత్వంగా పొందుతుంది.

మొదట ప్రొఫైల్ను సృష్టించి, తర్వాత secretను స్పష్టంగా దానికి కట్టండి. ఇప్పటికీ డిఫాల్ట్ ప్రొఫైల్ను సూచించే secret మూల సమస్యను తిరిగి ఉత్పత్తి చేస్తుంది.

ప్రొఫైల్ మరియు జాబితాకు వాటి పనులు స్పష్టంగా ఉండేలా పేర్లు పెట్టి, రెండింటికీ అభ్యర్థన సూచనతో వ్యాఖ్య రాయండి. ఒక ప్రొఫైల్ ఒకే పరిధితో పలువురికి సేవ చేయగలదు, జాబితా ఇప్పటికీ ప్రతి సజీవ సెషన్ను గుర్తిస్తుంది. ప్రతి వ్యక్తికి ఒక నియమం కంటే ఇది సమీక్షకు చవక.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

అనుమతించిన సేవను ఒక జాబితాలో నమోదు చేయండి

అనుమతించిన సర్వర్ను ఫిల్టర్ నియమంలో చిరునామా పొదగడం బదులు దాని స్వంత చిరునామా జాబితాలో పెట్టండి. జాబితాను ఆడిట్ చేయవచ్చు, విస్తరించవచ్చు, వ్యాఖ్య చేయవచ్చు, సర్వర్ కదిలినప్పుడు దాన్ని వాడే నియమం మారదు. ఒకే నమోదు రెండో హోస్ట్ వచ్చేవరకు అధికంగా కనిపిస్తుంది, అది సాధారణంగా వస్తుంది.

చిరునామా చలనశీలం లేదా లోడ్ పంపిణీ అయినప్పుడు జాబితాను సరిపోల్చండి, మరియు కేటాయించినది, స్థిరమైనది అయినప్పుడు చిరునామాను నేరుగా సరిపోల్చండి. వ్యాఖ్యలో సేవ మరియు యజమాని పేర్లు ఉంటే ఏ ఎంపికైనా స్పష్టంగా చదవబడుతుంది.

హోస్ట్తో పాటు ప్రోటోకాల్ మరియు పోర్టును కూడా పరిమితం చేయండి. పోర్ట్ పరిమితి లేని హోస్ట్కు accept ఆ హోస్ట్ నడిపే ప్రతి సేవను తెరుస్తుంది, ఇది చాలా ప్రాప్యత అభ్యర్థనలు ఉద్దేశించిన దానికంటే విస్తృతం. పోర్ట్ అనుమతిలో భాగం, తర్వాత జోడించే వివరం కాదు.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

ఏదైనా విస్తృత accept కంటే ముందు జంప్ను క్రమబద్ధీకరించండి

జంప్ నియమం పరిమిత జాబితా నుంచి పంపిన ట్రాఫిక్ను మొత్తం విధానం మూడు పంక్తుల్లో ఇమిడే ప్రైవేట్ గొలుసులోకి పంపుతుంది. మొదటి నియమం అనుమతించిన గమ్యాన్ని, పోర్టును అంగీకరిస్తుంది, చివరి నియమం మిగతావన్నీ పడేస్తుంది. జంప్ forwardలో ఏదైనా విస్తృత accept కంటే పైన ఉండాలి, ఎందుకంటే మునుపటి accept అంటే జంప్ ఎప్పుడూ నడవదు. తిరిగి వచ్చే ట్రాఫిక్ ప్రవహించేలా established మరియు related acceptను జంప్ ముందు ఉంచండి.

ఏ fasttrack నియమం ఈ ట్రాఫిక్ను పరిమిత గొలుసు పక్క నుంచి తీసుకెళ్లలేదని తనిఖీ చేయండి. Fasttrack ఫిల్టర్ మార్గంలో మిగిలిన భాగాన్ని దాటిస్తుంది, fasttrack చేసిన పరిమిత సెషన్ అసలు పరిమితం కాదు.

రౌటర్ స్వంత సేవలు చేరలేనివి ఉండాలంటే input గొలుసుకు నిర్ణయాన్ని పునరావృతం చేయండి. పంపిన ట్రాఫిక్ను బ్లాక్ చేసి winbox తెరిచి ఉంచే పరిధి సగమే పూర్తయింది.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

కౌంటర్లు మరియు జాబితా సభ్యత్వంతో ధృవీకరించండి

క్లయింట్ నుంచి అనుమతించిన సేవను, విఫలం కావాల్సిన మరొక సేవను పరీక్షించి, తర్వాత రౌటర్లో నియమ గణాంకాలు చదవండి. accept మరియు drop కౌంటర్లు ప్రతి ప్యాకెట్ ఏ మార్గం తీసుకుందో చూపుతాయి, దాన్ని క్లయింట్ చూడలేరు. సజీవ సెషన్ చిరునామా పరిమిత జాబితాలో కనిపించిందని కూడా నిర్ధారించండి.

ఖాళీ జాబితా అంటే ఖాతా మరో ప్రొఫైల్లో ఉంది లేదా ప్రొఫైల్ తన చిరునామా జాబితా సెట్టింగ్ను కోల్పోయింది. అనుమతించిన సేవ విఫలమవుతుండగా drop కౌంటర్ పెరగడం అంటే గమ్యం లేదా పోర్టు క్లయింట్ పంపే దానితో సరిపోలడం లేదు.

ఏ ముగింపుకూ రాకముందు అదే సేవను పేరుతోనూ చిరునామాతోనూ పరీక్షించండి. పేరు పరిష్కార వైఫల్యం క్లయింట్ వైపు నుంచి నిరోధించిన పోర్టు లాగానే కనిపిస్తుంది. తర్వాత ప్రొఫైల్, రెండు జాబితాలు, ఏకైక అనుమతించిన సేవను ప్రాప్యత అభ్యర్థనలో నమోదు చేయండి, తదుపరి సమీక్ష పునర్నిర్మించడం బదులు పోల్చగలిగేలా.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients