Как блокировать vpn на роутере

Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.

Приветствую.
Имеется роутер Keenetic Giga (KeeneticOS: 3.8.5). На роутере поднята служба SSTP Server, и есть два пользователя для неё.
Есть ли возможность сделать так, чтобы у первого vpn пользователя был доступ и к локальной сети роутера и к Интернету, а у второго пользователя закрыть доступ к локалке, чтобы он мог ходить через VPN лишь в Интернет?

У клиентов VPN статические адреса, я пытался в разделе «Межсетевой экран», сделать запрещающее правило для своей локальной сети 192.168.21.0/24 со статического адреса VPN клиента, но это не работает. Я добавлял это правило на интерфейс «Подключение Ethernet» и «Домашняя сеть». Почему-то отдельного интерфейса для SSTP не появляется, как у других vpn соединений, например WireGuard появляется отдельная вкладка (видимо потому что в них я клиент, а не сервер).

Я менял сеть для SSTP на Гостевую, и хотел сделать первому пользователю разрешающее правило в домашнюю сеть. Но это то же не работает. Или все клиенты ходят только в интернет или все и в локалку и в интернет.

Может кто-то сталкивался с подобной необходимостью? Прошу вашей помощи.

Способ №1
1. Включите мониторинг сетевого трафика на роутере MikroTik. Для этого вы можете использовать инструменты, такие как Torch, Packet Sniffer, или Traffic Flow.
2. Определите IP-адрес вашего Linux-сервера. Если вы не знаете его IP-адреса, вы можете использовать инструменты, такие как nmap или ping, чтобы отсканировать сеть и найти его.
3. На роутере MikroTik создайте правило фильтрации, чтобы разрешить только определенные исходящие VPN-соединения с вашего Linux-сервера, а затем заблокируйте все остальные исходящие соединения.
4. Наблюдайте за трафиком на роутере MikroTik и обратите внимание на любые соединения, установленные с IP-адресом вашего Linux-сервера.
5. Если вы заметите исходящие VPN-соединения, которые вы не разрешали, то это может указывать на установку VPN-сервера или клиента на вашем Linux-сервере.
6. Далее проверьте кому принадлежат ip адреса с которыми устанавливаются VPN соединения.
7. Заблокируйте все исходящие порты в роутере MikroTik кроме прокси портов, как это сделать см. ниже.

Способ №2
Использование протокола Layer 7 (L7) фильтрации:
1. На роутере MikroTik настройте L7 фильтрацию, чтобы блокировать известные протоколы VPN.
2. Наблюдайте за применением L7 фильтрации и так вы определите, проходит ли через ваш Linux-сервер трафик, соответствующий протоколам VPN.
3. Если обнаружены соединения с известными протоколами VPN, это может указывать на использование VPN на Linux-сервере.
4. Далее проверьте кому принадлежат ip адреса с которыми устанавливаются VPN соединения.
5. Заблокируйте все исходящие порты в роутере MikroTik кроме прокси портов, как это сделать см. ниже.

Способ №3
Мониторинг сетевых подключений на роутере MikroTik:

1.На роутере MikroTik используйте инструменты, такие как Netwatch, чтобы отслеживать сетевые подключения.
2. Настройте Netwatch для мониторинга соединений с IP-адресом вашего Linux-сервера,
3. Остановите все программы использующие ваш Linux-сервер.
4. Если Netwatch обнаруживает активные соединения с или от Linux-сервера, это может указывать на наличие установленного исходящего VPN-соединения на Linux-сервере.
5. Далее проверьте кому принадлежат ip адреса с которыми устанавливаются VPN соединения.
6. Заблокируйте все исходящие порты в роутере MikroTik кроме прокси портов, как это сделать см. ниже.

Эти подходы позволяют обнаружить исходящие VPN-соединения с Linux-сервера, используя роутер MikroTik для мониторинга сетевого трафика или подключений.

!!! Блокировка всех портов кроме нужных на роутере MikroTik
В MikroTik можно прописать блокировку всех портов, кроме нужных, тем самым отрезав продавцу все доступы к вашей ферме. Сделать это можно с помощью правил фильтрации (firewall). Вот как это сделать:

1. Зайдите в консоль или Winbox и откройте меню «IP» -> «Firewall».
2. Во вкладке «Filter Rules» нажмите на кнопку «Add New» для создания нового правила.
3. В разделе «General» укажите следующие настройки:
-Chain: выберите «input» (если нужно блокировать входящий трафик) или «forward» (если нужно блокировать трафик, проходящий через роутер).
-Protocol: выберите «tcp» или «udp», в зависимости от ваших требований.
-Dst. Port: укажите порт или диапазон портов, которые вы хотите разрешить.
4. В разделе «Action» установите следующие настройки:
-Action: выберите «accept», чтобы разрешить соединение на указанных портах.
-Comment: дайте правилу описательное имя для лучшей идентификации (например, «Разрешенные порты»).
5. Нажмите «OK» для создания правила.
6. Добавьте еще одно правило для блокировки всех остальных портов. Установите те же настройки, что и в предыдущем правиле, за исключением настройки «Action», которую нужно изменить на «drop» (отбрасывать).
7. Перетащите правило блокировки всех портов выше правила разрешения нужных портов, чтобы оно выполнялось раньше.
8. Нажмите «Apply» для применения настроек фильтрации.

2022-05-23 17:52

Безопасность

Запретить ИЗВНЕ доступ кроме определенных адресов

/ip firewall address-list
add address=1.2.3.4 list="ip allowed"
add address=1.2.3.5 list="ip allowed"
/ip firewall raw chain=prerouting action=drop \
in-interface-list=WAN src-address-list="!ip allowed"