MikroTik VPN صارف بہت دور پہنچتا ہے: ایک میزبان اور ایک پورٹ تک محدود کریں

ٹنل اوپر آتا ہے، لاگ ان کامیاب ہوتا ہے، اور نیٹ ورک کا ہر میزبان جواب دیتا ہے۔ یہ خراب VPN نہیں ہے؛ یہ اجازت کے ماڈل کے بغیر VPN ہے۔ RouterOS اکاؤنٹ کی تصدیق کرتا ہے اور پھر اس کے پیکٹ کسی بھی اور کی طرح روٹ کرتا ہے، اس لیے حد فائر وال کو فراہم کرنی ہوتی ہے۔ لاگ ان توڑے بغیر وہ حد شامل کرنا ہی پورا کام ہے۔

تصدیق وہیں ختم ہوتی ہے جہاں اجازت شروع ہوتی ہے

PPP سیشن اوپر آتے ہی کلائنٹ کے پیکٹ کسی بھی دوسرے انٹرفیس کی ٹریفک کی طرح forward زنجیر میں داخل ہوتے ہیں۔ اگر راؤٹر کی forward پالیسی اجازت دینے والی ہو تو مشیر لاگ ان پر وہی اجازت ورثے میں پاتا ہے۔ اکاؤنٹ نے کبھی کوئی دائرہ نہیں اٹھایا، اس لیے اکاؤنٹ پر بدلنے کو کچھ نہیں۔ قواعد کا مجموعہ ملازمین کے لیے لکھا گیا تھا اور نیا سیشن بس اس میں شامل ہو گیا۔

کچھ لکھنے سے پہلے دیکھیں کہ درخواست کس راستے کی ہے۔ راؤٹر کے پیچھے میزبانوں کی طرف ٹریفک forward سے گزرتی ہے، جبکہ خود راؤٹر کی طرف ٹریفک، winbox اور SSH سمیت، input سے گزرتی ہے۔ صرف forward کو ڈھکنے والا دائرہ آلے کو اسی کلائنٹ کے لیے کھلا چھوڑ دیتا ہے۔

دونوں زنجیروں کو فیصلہ چاہیے، چاہے فیصلہ input بند رکھنا ہو۔ وہ انتخاب رسائی درخواست کا حصہ ہے، بعد کی سوچ کا نہیں۔

سیشن کو نامزد فہرست سے جوڑیں

PPP پروفائل سیشن شروع ہوتے وقت دیا گیا پتہ نامزد پتوں کی فہرست میں ڈال سکتی ہے۔ یہ عارضی ٹنل پتے کو ایسی چیز بنا دیتا ہے جسے فائر وال نام سے ملا سکتی ہے، اور سیشن ختم ہونے پر اندراج غائب ہو جاتا ہے۔ پھر اکاؤنٹ دائرہ اپنی پروفائل سے ورثے میں لیتا ہے، نہ کہ ایسے قاعدے سے جو پتہ سختی سے کوڈ کرتا ہو۔

پہلے پروفائل بنائیں، پھر secret کو واضح طور پر اس سے باندھیں۔ ڈیفالٹ پروفائل کی طرف اشارہ کرنے والا secret اصل مسئلہ دوبارہ پیدا کرتا ہے۔

پروفائل اور فہرست کو ایسے نام دیں کہ ان کے کام واضح ہوں، اور دونوں پر درخواست کے حوالے کے ساتھ تبصرہ کریں۔ ایک پروفائل ایک ہی دائرے والے کئی لوگوں کی خدمت کر سکتی ہے، جبکہ فہرست ہر زندہ سیشن کی شناخت کرتی رہتی ہے۔ ہر شخص کے لیے ایک قاعدے سے یہ جائزے کے لیے سستا ہے۔

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

اجازت یافتہ سروس کو ایک فہرست میں درج کریں

اجازت یافتہ سرور کو فلٹر قاعدے میں پتہ پیوست کرنے کے بجائے اس کی اپنی پتوں کی فہرست میں رکھیں۔ فہرست کا آڈٹ، توسیع اور تبصرہ کیا جا سکتا ہے، اور سرور کے منتقل ہونے پر اسے استعمال کرنے والا قاعدہ نہیں بدلتا۔ ایک اندراج اس وقت تک ضرورت سے زیادہ لگتا ہے جب تک دوسرا میزبان نہ آئے، جو عام طور پر آتا ہے۔

پتہ متحرک یا بوجھ کے لحاظ سے تقسیم شدہ ہو تو فہرست ملائیں، اور محفوظ و مستحکم ہو تو پتہ براہ راست ملائیں۔ تبصرہ سروس اور مالک کا نام لے تو دونوں میں سے کوئی بھی انتخاب واضح پڑھا جاتا ہے۔

میزبان کے ساتھ ساتھ پروٹوکول اور پورٹ بھی محدود کریں۔ پورٹ پابندی کے بغیر میزبان کے لیے accept اس میزبان کی چلائی ہوئی ہر سروس کھول دیتا ہے، جو بیشتر رسائی درخواستوں کے ارادے سے زیادہ وسیع ہے۔ پورٹ اجازت کا حصہ ہے، بعد میں شامل کرنے والی تفصیل نہیں۔

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

کسی بھی وسیع accept سے پہلے جمپ کو ترتیب دیں

جمپ قاعدہ محدود فہرست سے آگے بھیجی گئی ٹریفک کو ایک نجی زنجیر میں بھیجتا ہے جہاں پوری پالیسی تین سطروں میں آ جاتی ہے۔ پہلا قاعدہ اجازت یافتہ منزل اور پورٹ قبول کرتا ہے، اور آخری قاعدہ باقی سب گرا دیتا ہے۔ جمپ forward میں کسی بھی وسیع accept سے اوپر ہونا چاہیے، کیونکہ پہلے کا accept یعنی جمپ کبھی نہیں چلتا۔ واپسی ٹریفک بہتی رہے اس لیے established اور related کا accept جمپ سے پہلے رکھیں۔

جانچیں کہ کوئی fasttrack قاعدہ اس ٹریفک کو محدود زنجیر سے آگے نہیں لے جا سکتا۔ Fasttrack فلٹر راستے کا باقی حصہ چھوڑ دیتا ہے، اور fasttrack کیا گیا محدود سیشن بالکل بھی محدود نہیں۔

اگر راؤٹر کی اپنی سروسز ناقابل رسائی ہونی چاہئیں تو input زنجیر کے لیے فیصلہ دہرائیں۔ آگے بھیجی گئی ٹریفک روک کر winbox کھلا چھوڑنے والا دائرہ آدھا ہی مکمل ہے۔

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

کاؤنٹرز اور فہرست کی رکنیت سے تصدیق کریں

کلائنٹ سے اجازت یافتہ سروس اور وہ سروس جانچیں جو ناکام ہونی چاہیے، پھر راؤٹر پر قواعد کے اعداد و شمار پڑھیں۔ accept اور drop کاؤنٹر دکھاتے ہیں کہ ہر پیکٹ نے کون سا راستہ لیا، جو کلائنٹ نہیں دیکھ سکتا۔ یہ بھی تصدیق کریں کہ زندہ سیشن کا پتہ محدود فہرست میں ظاہر ہوا۔

خالی فہرست کا مطلب ہے کہ اکاؤنٹ کسی دوسری پروفائل پر ہے یا پروفائل نے اپنی پتوں کی فہرست کی ترتیب کھو دی ہے۔ اجازت یافتہ سروس ناکام ہوتے ہوئے بڑھتا drop کاؤنٹر یعنی منزل یا پورٹ اس سے نہیں ملتے جو کلائنٹ بھیجتا ہے۔

کوئی نتیجہ اخذ کرنے سے پہلے وہی سروس نام اور پتے دونوں سے جانچیں۔ نام کی تحلیل کی ناکامی کلائنٹ کی طرف سے بند پورٹ جیسی ہی دکھتی ہے۔ پھر پروفائل، دونوں فہرستیں اور واحد اجازت یافتہ سروس رسائی درخواست میں درج کریں تاکہ اگلا جائزہ دوبارہ بنانے کے بجائے موازنہ کرے۔

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients