Страница 1 из 2
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 11:01
Chupaka
Так, стоп, а VPN какой используется? А то я всегда работал только с тоннелями, а тут вдруг вспомнил про IPSec... Может, в правило достаточно какой "ipsec-policy=!in,ipsec" добавить?.. Ну, и по аналогии.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 14:22
Sweik
Используется client-server (Remote Access) топология IPSec / IKEv2
Нужен ли экспорт?
Код: Выделить всё
Может, в правило достаточно какой "ipsec-policy=!in,ipsec" добавить?
не совсем понимаю, в какое поле надо добавлять?
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 14:53
Chupaka
В поле IPSec Policy на вкладке Advanced в rule_01 же
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 15:04
Chupaka
Блин, там отрицания в этом параметре нет... Значит, надо, например, добавить выше правило, которое будет ipsec-policy=in,ipsec Accept'ить...
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 16:34
Sweik
Так, я писал именно о том, что в правиле нет отрицания и даже прикладывал скриншот
Стер за ненадобностью.
Сейчас у меня на FW правила выглядят так:
Код: Выделить всё
add action=drop chain=input comment="Router: Drop connections from BOGON networks" \
in-interface=eth1-WAN log=yes log-prefix="rule_01: drop from_bogon" src-address-list=BOGON
add action=drop chain=forward comment="Drop invalid outgoing" \
dst-address-list=FALSE_INTERNAL log=yes log-prefix=\
"rule_02: drop from_false_internal" out-interface=eth1-WAN
add action=accept chain=input comment="Allow establish Remote Access" in-interface=\
eth1-WAN log=yes log-prefix="rule_03: ipsec sys" port=500,1701,4500 protocol=udp
add action=accept chain=input comment="Allow establish Remote Access" in-interface=\
eth1-WAN log=yes log-prefix="rule_04: ipsec sys" protocol=ipsec-esp
add action=accept chain=input in-interface=eth1-WAN log=yes \
comment="Allow Use Remote Accesss" log-prefix="rule_05: ipsec ping" protocol=icmp
add action=accept chain=input comment="Router: Allow incoming PING - WAN" \
in-interface=eth1-WAN limit=50/5s,2:packet log=yes log-prefix=\
"rule_06: allow ping" protocol=icmp
add action=drop chain=input comment=\
"Router: Drop any new incoming from WAN " connection-state=new \
in-interface=eth1-WAN log=yes log-prefix="rule_07 drop new_incoming"
правильно ли я понимаю Вашу рекомендацию:
- правило rule_05 перенести на самый верх (это правило моделирует полезную нагрузку в VPN-канале)
- правило rule_05 модернизировать, указав там ipsec-policy=in,ipsec
???
Но при всем при этом, VPN трафик все равно окажется на интерфейсе eth1-WAN, т.е. там, где ему быть не надо....
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 16:46
Sweik
Проверить смогу после 18:00 по восточно-европейскому времени.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 16:48
Chupaka
Sweik писал(а): ↑11 июл 2018, 16:34
правильно ли я понимаю Вашу рекомендацию:
- правило rule_05 перенести на самый верх (это правило моделирует полезную нагрузку в VPN-канале)
- правило rule_05 модернизировать, указав там ipsec-policy=in,ipsec
???
Но при всем при этом, VPN трафик все равно окажется на интерфейсе eth1-WAN, т.е. там, где ему быть не надо....
Да, что-то вроде того. В зависимости от поставленных целей
Если нужна дополнительная обработка с разной логикой - добро пожаловать в кастомные очереди, например:
Код: Выделить всё
/ip firewall filter
add chain=input in-interface=eth1-WAN ipsec-policy=in,ipsec action=jump jump-target=ipsec-input
add chain=ipsec-input protocol=icmp comment="allow icmp from VPN"
add chain=ipsec-input action=drop comment="drop everything else from VPN"
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 17:30
Sweik
Выполнил следующее:
Код: Выделить всё
- правило rule_05 перенести на самый верх (это правило моделирует полезную нагрузку в VPN-канале)
пинг сразу же пошел. Что, в принципе, логично - правило, запрещающее BOGON, оказалось ниже. Правда, трафик, по прежнему, определялся на интерфейсе eth1-WAN, чего быть не должно
далее, сделал так:
Код: Выделить всё
- правило rule_05 модернизировать, указав там ipsec-policy=in,ipsec
но не изменилось ничего.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 17:44
Chupaka
Sweik писал(а): ↑11 июл 2018, 17:30
Правда, трафик, по прежнему, определялся на интерфейсе eth1-WAN, чего быть не должно
Увы, должно. Добро пожаловать в IPSec. Отдельных тоннельных интерфейсов для него (пока?) не реализовали.
Sweik писал(а): ↑11 июл 2018, 17:30
далее, сделал так:
Код: Выделить всё
- правило rule_05 модернизировать, указав там ipsec-policy=in,ipsec
но не изменилось ничего.
А что должно было измениться? Пинг не должен был пропасть. Теперь пинг это правило разрешает, а всё остальное (попытки подключиться Telnet, WinBox, etc) должно дропаться BOGON-правилом.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 11 июл 2018, 18:49
Sweik
Нужно взять паузу на подумать
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 12 июл 2018, 19:02
Sweik
По сути, вопрос можен считаться закрытым.
1) VPN-трафик оказывается видимым на внешнем интерфейсе - это нормально.
2) в настройках FW нет опции, которая применяла бы то или иное правило FW только для VPN-community
3) описанная мною в первом сообщении проблема решается либо перемещением BOGON-правил ниже апликационных правил для Remote Access, либо более тонкой настройкой этих правил (использовать Source Address List / Destination Address List)
3a) Как вариант - подумать за использование VLAN-a, но я пока даже не представляю, удастся ли инициировать Remote Access на интерфейсе eth1-WAN (внешний интерфейс), а потом перенаправлять трафик в VLAN.
Спасибо за помощь!
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 12 июл 2018, 19:09
Chupaka
Sweik писал(а): ↑12 июл 2018, 19:02
1) VPN-трафик оказывается видимым на внешнем интерфейсе - это нормально.
В случае с IPSec - да, оно так работает
Sweik писал(а): ↑12 июл 2018, 19:02
2) в настройках FW нет опции, которая применяла бы то или иное правило FW только для VPN-community
Не совсем понимаю, что за community имеется в виду, но в целом - я же написал, как отделить vpn от не-vpn:
viewtopic.php?p=4435#p4435
Sweik писал(а): ↑12 июл 2018, 19:02
3a) Как вариант - подумать за использование VLAN-a, но я пока даже не представляю, удастся ли инициировать Remote Access на интерфейсе eth1-WAN (внешний интерфейс), а потом перенаправлять трафик в VLAN.
Опять же, не совсем понятно, что в данном случае понимается под VLAN'ом. VLAN 802.1q - это лишь способ пометить пакеты тегами, отправляя их по сети. Внутри устройства работают немного другие сущности: на втором уровне, например - bridge, на третьем - VRF...
Sweik писал(а): ↑12 июл 2018, 19:02
Спасибо за помощь!
Всегда пожалуйста =)
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 12 июл 2018, 19:23
Sweik
VPN-community - это со мной пришло от Checkpoint-a
там отдельно описывается некое "сообщество" - тип соединение (сервер-сервер или клиент - сервер), алгоримы шифрования, длина ключа и прочее. Очень похоже на то, что в Микротике расположено в IP --> IPSec --> Policies, похоже, но не то
А далее при конфигурации правил можно указать, оно будет общее (т.е. применяется для всех) или срабатывает только для определенного комьюнити.
Это, если вкратце
По VLAN-aм сразу признаюсь, что не являюсь сетевиком
Так, немного сбоку.
Идеология была такая (пока мысли, без обкатки):
- развернуть VLAN-интерфейс. Разместить его на физическом
вот тут затык - то ли на внешнем размещать (а можно ли???)), то ли на тех, что смотрят в LAN)
- дать этому VLAN-у тот же пул адресов, что у vpn_range
- после того, как пользватели установят удаленное подключение, перебрасывать их (
как???) в этот VLAN
- дальше доступ можно будет спокойно регулировать правилами FW
Но это пока лишь сухая теория.
В Wiki Mirotik-a ничего похожего не нашел. Возможно, идея утопическая.
С уважением.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 12 июл 2018, 19:35
Chupaka
Да, насчёт "сервер-сервер или клиент-сервер" - это в IPSec Policies, видимо.
Считайте VLAN таким же интерфейсом, как и Ethernet. А VLAN, который не терминируется с другой стороны провода - интерфейсом Ethernet, к которому ничего не подключено. Ничем они вам не помогут
Так что проще всего всё же доступ спокойно регулировать правилами FW, как я и написал выше.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 13 июл 2018, 10:27
Sweik
А еще нужно иметь в виду, что в тестах использовалась цепочка input.
В реальной среде жеудаленным пользователям (речь идет про бизнес-часть компании) на самом рутере делать нечего. Их надо будет пробросить внутрь локальной сети. Следовательно, цепочка будет forward.
Re: Remote Access и правила FW. Логический тупик.
Добавлено: 13 июл 2018, 10:49
Chupaka
Именно так. Но ничего принципиально не поменяется: трафик, приходящий из IPSec, всё так же будет ловить ipsec-policy=in,ipsec, а уходящий в IPSec - параметр ipsec-policy=out,ipsec.