MikroTik VPN foydalanuvchisi juda uzoqqa yetadi: bitta xost va bitta port bilan cheklang

Tunnel ko‘tariladi, kirish muvaffaqiyatli bo‘ladi va tarmoqdagi har bir xost javob beradi. Bu buzilgan VPN emas; bu ruxsat modeli yo‘q VPN. RouterOS hisobni autentifikatsiya qiladi va keyin uning paketlarini boshqalarnikidek yo‘naltiradi, shuning uchun chegarani xavfsizlik devori taqdim etishi kerak. Kirishni buzmasdan o‘sha chegarani qo‘shish butun ishdir.

Autentifikatsiya ruxsat boshlanadigan joyda tugaydi

PPP sessiyasi ko‘tarilgach, mijoz paketlari boshqa har qanday interfeys trafigi kabi forward zanjiriga kiradi. Agar routerning forward siyosati ruxsat beruvchi bo‘lsa, maslahatchi kirishda o‘sha ruxsatni meros oladi. Hisob hech qachon qamrov olib yurmagan, shuning uchun hisobda o‘zgartirish uchun hech narsa yo‘q. Qoidalar to‘plami xodimlar uchun yozilgan va yangi sessiya shunchaki unga qo‘shilgan.

Biror narsa yozishdan oldin so‘rov qaysi yo‘lga tegishli ekanini tekshiring. Router orqasidagi xostlarga trafik forward orqali o‘tadi, routerning o‘ziga, jumladan winbox va SSH, trafik esa input orqali o‘tadi. Faqat forwardni qamrab olgan qamrov qurilmani o‘sha mijoz uchun ochiq qoldiradi.

Ikkala zanjir ham qaror talab qiladi, qaror inputni yopiq qoldirish bo‘lsa ham. Bu tanlov kirish so‘roviga tegishli, keyinroq o‘ylanadigan narsaga emas.

Sessiyani nomlangan ro‘yxatga bog‘lang

PPP profili sessiya boshlanganda beradigan manzilni nomlangan manzillar ro‘yxatiga qo‘yishi mumkin. Bu vaqtinchalik tunnel manzilini xavfsizlik devori nom bo‘yicha moslashtira oladigan narsaga aylantiradi va sessiya tugagach yozuv yo‘qoladi. Keyin hisob qamrovni manzilni qattiq kodlaydigan qoidadan emas, o‘z profilidan meros oladi.

Avval profil yarating, keyin secretni unga aniq bog‘lang. Standart profilga hali ham ishora qiluvchi secret asl muammoni qayta hosil qiladi.

Profil va ro‘yxatni vazifalari ayon bo‘ladigan qilib nomlang va ikkalasiga so‘rov havolasi bilan izoh qo‘shing. Bitta profil bir xil qamrovli bir necha kishiga xizmat qilishi mumkin, ro‘yxat esa har bir tirik sessiyani aniqlab turadi. Bu har bir kishi uchun bitta qoidadan ko‘ra tekshirishga arzon.

/ppp profile add name=scoped-consultant remote-address=consultant-pool address-list=vpn-scoped-clients
/ppp secret add name=consultant password=... service=ovpn profile=scoped-consultant

Ruxsat etilgan xizmatni bitta ro‘yxatga yozing

Ruxsat etilgan serverni manzilni filtr qoidasiga singdirish o‘rniga o‘zining manzillar ro‘yxatiga qo‘ying. Ro‘yxatni audit qilish, kengaytirish va izohlash mumkin, va server ko‘chganda undan foydalanadigan qoida o‘zgarmaydi. Bitta yozuv ikkinchi xost kelguncha ortiqcha ko‘rinadi, u odatda keladi.

Manzil dinamik yoki yuk bo‘yicha taqsimlangan bo‘lsa ro‘yxatni moslashtiring, zaxiralangan va barqaror bo‘lsa manzilni to‘g‘ridan-to‘g‘ri moslashtiring. Izoh xizmat va egasini aytsa, ikkala tanlov ham aniq o‘qiladi.

Xost bilan birga protokol va portni ham cheklang. Port cheklovisiz xost uchun accept o‘sha xost ishga tushiradigan har bir xizmatni ochadi, bu ko‘pchilik kirish so‘rovlari nazarda tutganidan kengroq. Port ruxsatning bir qismi, keyinroq qo‘shiladigan tafsilot emas.

/ip firewall address-list add list=vpn-targets address=10.0.0.10 comment="consultant RDP target"

Sakrashni har qanday keng acceptdan oldin joylashtiring

Sakrash qoidasi cheklangan ro‘yxatdan uzatilgan trafikni butun siyosat uch qatorga sig‘adigan xususiy zanjirga yuboradi. Birinchi qoida ruxsat etilgan manzil va portni qabul qiladi, oxirgi qoida qolganini tashlaydi. Sakrash forwarddagi har qanday keng acceptdan yuqorida turishi kerak, chunki avvalgi accept sakrash hech qachon ishlamasligini bildiradi. Qaytish trafigi oqib turishi uchun established va related uchun acceptni sakrashdan oldin saqlang.

Hech bir fasttrack qoidasi bu trafikni cheklangan zanjirdan chetlab o‘tkaza olmasligini tekshiring. Fasttrack filtr yo‘lining qolganini chetlab o‘tadi va fasttrack qilingan cheklangan sessiya umuman cheklanmagan.

Routerning o‘z xizmatlari yetib bo‘lmaydigan bo‘lishi kerak bo‘lsa, qarorni input zanjiri uchun takrorlang. Uzatilgan trafikni to‘sib, winboxni ochiq qoldirgan qamrov yarim tugallangan.

/ip firewall filter
add chain=forward action=jump jump-target=scoped-vpn src-address-list=vpn-scoped-clients
add chain=scoped-vpn action=accept protocol=tcp dst-address-list=vpn-targets dst-port=3389
add chain=scoped-vpn action=drop

Hisoblagichlar va ro‘yxat a’zoligi bilan tekshiring

Mijozdan ruxsat etilgan xizmatni va albatta muvaffaqiyatsiz bo‘lishi kerak bo‘lgan xizmatni sinab ko‘ring, so‘ng routerda qoidalar statistikasini o‘qing. accept va drop hisoblagichlari har bir paket qaysi yo‘ldan o‘tganini ko‘rsatadi, mijoz buni ko‘ra olmaydi. Tirik sessiya manzili cheklangan ro‘yxatda paydo bo‘lganini ham tasdiqlang.

Bo‘sh ro‘yxat hisob boshqa profilda ekanini yoki profil manzillar ro‘yxati sozlamasini yo‘qotganini bildiradi. Ruxsat etilgan xizmat muvaffaqiyatsiz bo‘layotganda o‘sayotgan drop hisoblagichi manzil yoki port mijoz yuborayotgan narsaga mos kelmasligini bildiradi.

Biror xulosa chiqarishdan oldin o‘sha xizmatni nomi va manzili bo‘yicha sinab ko‘ring. Nomni hal qilishdagi xatolik mijoz tomondan to‘sib qo‘yilgan portga aynan o‘xshaydi. Keyin profilni, ikkala ro‘yxatni va yagona ruxsat etilgan xizmatni kirish so‘roviga yozib qo‘ying, shunda keyingi ko‘rik qayta qurish o‘rniga solishtiradi.

/ip firewall filter print stats where chain=scoped-vpn
/ip firewall address-list print where list=vpn-scoped-clients