Lumalampas nang todo ang user ng MikroTik VPN: limitahan sa isang host at isang port

Bumabangon ang tunnel, nagtatagumpay ang pag-login, at sumasagot ang bawat host sa network. Hindi ito sirang VPN; ito ay VPN na walang modelo ng pahintulot. Ina-authenticate ng RouterOS ang account at pagkatapos ay iruruta ang mga packet nito gaya ng kaninuman, kaya ang firewall ang dapat magbigay ng limitasyon. Ang idagdag ang limitasyong iyon nang hindi sinisira ang login ang buong gawain.

Nagtatapos ang authentication kung saan nagsisimula ang pahintulot

Kapag nakabangon na ang PPP session, pumapasok ang mga packet ng client sa forward chain gaya ng trapiko mula sa anumang ibang interface. Kung ang forward policy ng router ay mapagbigay, namamana ng consultant ang pagiging mapagbigay na iyon sa pag-login. Hindi kailanman nagdala ng saklaw ang account, kaya wala nang babaguhin sa account. Isinulat ang ruleset para sa mga empleyado at sumali lang ang bagong session dito.

Tingnan kung aling landas ang tinutukoy ng kahilingan bago magsulat ng kahit ano. Tumatawid sa forward ang trapiko patungo sa mga host sa likod ng router, habang ang trapiko patungo sa router mismo, kasama ang winbox at SSH, ay tumatawid sa input. Ang saklaw na sumasakop lamang sa forward ay nag-iiwan sa device na bukas sa parehong client.

Kailangan ng desisyon ang dalawang chain, kahit ang desisyon ay iwanang sarado ang input. Ang pagpiling iyon ay kabilang sa kahilingan ng access, hindi sa naunang isipan.

Ikabit ang session sa isang pinangalanang listahan

Maaaring ilagay ng PPP profile ang ibinibigay nitong address sa isang pinangalanang listahan ng address kapag nagsisimula ang session. Ginagawa nitong isang bagay na maaaring itugma ng firewall sa pangalan ang panandaliang tunnel address, at nawawala ang entry kapag natapos ang session. Namamana ng account ang saklaw mula sa profile nito sa halip na sa isang patakarang matigas na nagko-code ng address.

Gumawa muna ng profile, pagkatapos ay tahasang ikabit ang secret dito. Ang secret na tumuturo pa rin sa default na profile ay muling lumilikha ng orihinal na problema.

Pangalanan ang profile at ang listahan para maging malinaw ang kanilang mga tungkulin, at magkomento sa dalawa gamit ang reperensiya ng kahilingan. Maaaring maglingkod ang isang profile sa ilang tao na may parehong saklaw, habang tinutukoy pa rin ng listahan ang bawat buhay na session. Mas mura itong suriin kaysa sa isang patakaran kada tao.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Itala ang pinapayagang serbisyo sa isang listahan

Ilagay ang pinapayagang server sa sarili nitong listahan ng address sa halip na ilagay ang address sa isang patakaran ng filter. Maaaring i-audit, palawakin at komentuhan ang listahan, at hindi nagbabago ang patakarang gumagamit nito kapag lumipat ang server. Ang isang entry ay mukhang sobra hanggang dumating ang pangalawang host, na karaniwang dumarating.

Itugma ang listahan kapag ang address ay dynamic o balanseng karga, at itugma ang address nang direkta kapag ito ay nakalaan at matatag. Alinman sa dalawa ay malinaw na mababasa kung pinangalanan ng komento ang serbisyo at ang may-ari.

Limitahan ang protocol at port gayundin ang host. Ang accept para sa host na walang paghihigpit sa port ay nagbubukas ng bawat serbisyong pinapatakbo ng host na iyon, na mas malawak kaysa sa inilalayon ng karamihan ng kahilingan ng access. Ang port ay bahagi ng pahintulot, hindi detalye na idaragdag mamaya.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Isaayos ang jump bago ang anumang malawak na accept

Ang patakaran ng jump ay nagpapadala ng ipinasa-forward na trapiko mula sa limitadong listahan patungo sa isang pribadong chain kung saan kasya ang buong patakaran sa tatlong linya. Tinatanggap ng unang patakaran ang pinapayagang destinasyon at port, at itinatapon ng huling patakaran ang lahat ng iba pa. Dapat nakalagay ang jump sa itaas ng anumang malawak na accept sa forward, dahil ang naunang accept ay nangangahulugang hindi kailanman tumatakbo ang jump. Panatilihin ang accept para sa established at related bago ang jump para patuloy na dumaloy ang pabalik na trapiko.

Tiyakin na walang patakaran ng fasttrack na makapagdadala sa trapikong ito lampas sa limitadong chain. Nilalampasan ng fasttrack ang natitirang landas ng filter, at ang limitadong session na na-fasttrack ay hindi limitado sa anumang paraan.

Ulitin ang desisyon para sa input chain kung dapat hindi maabot ang sariling serbisyo ng router. Ang saklaw na humaharang sa ipinasa-forward na trapiko at nag-iiwan ng bukas na winbox ay kalahati lamang ang tapos.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

I-verify gamit ang mga counter at pagiging miyembro ng listahan

Mula sa client, subukan ang pinapayagang serbisyo at isang dapat mabigo, pagkatapos ay basahin ang estadistika ng patakaran sa router. Ipinapakita ng accept at drop na counter kung aling landas ang tinahak ng bawat packet, na hindi makikita ng client. Tiyakin din na lumitaw ang address ng buhay na session sa limitadong listahan.

Ang walang laman na listahan ay nangangahulugang ang account ay nasa ibang profile o nawala ng profile ang setting ng listahan ng address. Ang tumataas na drop counter habang nabibigo ang pinapayagang serbisyo ay nangangahulugang hindi tugma ang destinasyon o port sa ipinapadala ng client.

Subukan ang parehong serbisyo sa pangalan at sa address bago maghinuha ng kahit ano. Ang pagkabigo ng name resolution ay mukhang eksaktong isang harang na port mula sa panig ng client. Pagkatapos ay itala ang profile, dalawang listahan at ang nag-iisang pinapayagang serbisyo sa kahilingan ng access para ang susunod na pagsusuri ay maghambing sa halip na muling buuin.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients