MikroTik VPN kullanıcısı çok uzağa erişiyor: tek bir ana makine ve tek bir bağlantı noktasıyla sınırlayın

Tünel açılıyor, oturum açma başarılı oluyor ve ağdaki her ana makine yanıt veriyor. Bu bozuk bir VPN değil; bu, izin modeli olmayan bir VPN. RouterOS hesabı doğrular ve ardından paketlerini herkesinki gibi yönlendirir, bu yüzden sınırı güvenlik duvarı sağlamalıdır. Bu sınırı oturum açmayı bozmadan eklemek işin tamamıdır.

Kimlik doğrulama, iznin başladığı yerde biter

PPP oturumu açıldığında istemcinin paketleri, başka herhangi bir arabirimden gelen trafik gibi forward zincirine girer. Yönlendiricinin forward ilkesi izin vericiyse, danışman oturum açarken bu izin vericiliği devralır. Hesap hiçbir zaman bir kapsam taşımadı, dolayısıyla hesapta değiştirilecek bir şey yok. Kural kümesi çalışanlar için yazılmıştı ve yeni oturum yalnızca ona katıldı.

Herhangi bir şey yazmadan önce isteğin hangi yola ilişkin olduğunu kontrol edin. Yönlendiricinin arkasındaki ana makinelere giden trafik forward üzerinden geçer, yönlendiricinin kendisine giden trafik ise winbox ve SSH dahil input üzerinden geçer. Yalnızca forward'ı kapsayan bir kapsam, cihazı aynı istemciye açık bırakır.

Her iki zincir de bir karar gerektirir, karar input'u kapalı bırakmak olsa bile. Bu seçim erişim isteğine aittir, sonradan gelen bir düşünceye değil.

Oturumu adlandırılmış bir listeye bağlayın

Bir PPP profili, oturum başlarken verdiği adresi adlandırılmış bir adres listesine koyabilir. Bu, geçici tünel adresini güvenlik duvarının adla eşleştirebileceği bir şeye dönüştürür ve oturum bittiğinde kayıt kaybolur. Hesap ardından kapsamı adresi sabit kodlayan bir kuraldan değil, kendi profilinden devralır.

Önce profili oluşturun, sonra secret'ı ona açıkça bağlayın. Hâlâ varsayılan profili işaret eden bir secret özgün sorunu yeniden üretir.

Profili ve listeyi görevleri belirgin olacak şekilde adlandırın ve ikisini de isteğin referansıyla yorumlayın. Bir profil aynı kapsamla birkaç kişiye hizmet edebilir, liste ise her canlı oturumu tanımlamaya devam eder. Bu, kişi başına bir kuraldan incelemek için daha ucuzdur.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

İzin verilen hizmeti tek bir listede kaydedin

İzin verilen sunucuyu adresi bir filtre kuralına gömmek yerine kendi adres listesine koyun. Liste denetlenebilir, genişletilebilir ve yorumlanabilir; onu kullanan kural sunucu taşındığında değişmez. Tek bir kayıt, ikinci ana makine gelene kadar abartılı görünür ki bu genellikle olur.

Adres dinamik veya yük dengeli olduğunda bir listeyi eşleştirin, ayrılmış ve kararlı olduğunda adresi doğrudan eşleştirin. Yorum hizmeti ve sahibini adlandırıyorsa her iki seçim de açık okunur.

Ana makinenin yanı sıra protokolü ve bağlantı noktasını da sınırlayın. Bağlantı noktası kısıtlaması olmayan bir ana makine için accept, o ana makinenin çalıştırdığı her hizmeti açar; bu, çoğu erişim isteğinin amaçladığından daha geniştir. Bağlantı noktası iznin parçasıdır, sonradan eklenen bir ayrıntı değildir.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Atlamayı her geniş accept'ten önce sıralayın

Bir atlama kuralı, kapsamlı listeden iletilen trafiği tüm ilkenin üç satıra sığdığı özel bir zincire gönderir. İlk kural izin verilen hedefi ve bağlantı noktasını kabul eder, son kural geri kalan her şeyi düşürür. Atlama, forward'daki her geniş accept'in üstünde olmalıdır, çünkü daha önceki bir accept atlamanın hiç çalışmayacağı anlamına gelir. Dönüş trafiği akmaya devam etsin diye established ve related için accept'i atlamadan önce tutun.

Hiçbir fasttrack kuralının bu trafiği kapsamlı zincirin dışına taşıyamayacağını kontrol edin. Fasttrack filtre yolunun geri kalanını atlar ve fasttrack uygulanan kapsamlı oturum hiç kapsamlı değildir.

Yönlendiricinin kendi hizmetlerine erişilememesi gerekiyorsa kararı input zinciri için de tekrarlayın. İletilen trafiği engelleyip winbox'ı açık bırakan bir kapsam yalnızca yarım bitmiştir.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Sayaçlar ve liste üyeliğiyle doğrulayın

İstemciden izin verilen hizmeti ve başarısız olması gereken bir hizmeti deneyin, ardından yönlendiricide kural istatistiklerini okuyun. accept ve drop sayaçları her paketin hangi yolu izlediğini gösterir, istemci bunu göremez. Canlı oturumun adresinin kapsamlı listede göründüğünü de doğrulayın.

Boş bir liste, hesabın başka bir profilde olduğu veya profilin adres listesi ayarını kaybettiği anlamına gelir. İzin verilen hizmet başarısız olurken artan drop sayacı, hedefin veya bağlantı noktasının istemcinin gönderdiğiyle eşleşmediği anlamına gelir.

Bir sonuca varmadan önce aynı hizmeti hem adla hem adresle deneyin. Ad çözümleme hatası istemci tarafından tam olarak engellenmiş bir bağlantı noktası gibi görünür. Ardından profili, iki listeyi ve tek izin verilen hizmeti erişim isteğine kaydedin, böylece sonraki inceleme yeniden kurmak yerine karşılaştırsın.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients