Всем привет! Хочу создать VPN-аккаунт в разделе “PPP”, назвать его “user1”. Этот аккаунт должен иметь доступ только к одному серверу (IP: 1.1.1.1, ftp порт 21) в моей внутренней сети. user1 будет подключаться к VPN из интернета. Моя идея — сделать два правила в файрволе. Первое разрешит user1 доступ к серверу 1.1.1.1 на ftp порт 21, второе — сбрасывать любые другие подключения к другим серверам или протоколам.
Я создал “профиль” в “PPP” и назвал его “profile1”, затем в profile1 указал удалённый IP 9.9.9.9. Потом в разделе “Secrets” под “PPP” создал аккаунт “user1” и назначил ему профиль “profile1”.
В “Firewall” → “Address Lists” создал список с именем “ftp_list” и адресом 9.9.9.9. В “Firewall” → “Filter Rules” добавил правило №1: цепочка input, dst-адрес 1.1.1.1, протокол tcp, dst порт 21. На вкладке “Advanced” в поле Src.address list указал ftp_list, Action=accept (предполагаю, что когда user1 подключится, ему назначится IP 9.9.9.9 из ftp_list, и тогда он сможет ftp к 1.1.1.1 на порт 21).
Там же добавил правило №2: цепочка input, протокол tcp, действие drop (должно блокировать всё, что не разрешено правилом №1).
Но я проверял — это не работает. Когда user1 подключается к маршрутизатору MK, он может пинговать, подключаться по telnet и ftp к любым серверам. Хочу ограничить доступ user1 только сервером 1.1.1.1 из интернета из соображений безопасности. Кто может посоветовать, что делать? Спасибо!
Я создал “профиль” в “PPP” и назвал его “profile1”, затем в profile1 указал удалённый IP 9.9.9.9. Потом в разделе “Secrets” под “PPP” создал аккаунт “user1” и назначил ему профиль “profile1”.
В “Firewall” → “Address Lists” создал список с именем “ftp_list” и адресом 9.9.9.9. В “Firewall” → “Filter Rules” добавил правило №1: цепочка input, dst-адрес 1.1.1.1, протокол tcp, dst порт 21. На вкладке “Advanced” в поле Src.address list указал ftp_list, Action=accept (предполагаю, что когда user1 подключится, ему назначится IP 9.9.9.9 из ftp_list, и тогда он сможет ftp к 1.1.1.1 на порт 21).
Там же добавил правило №2: цепочка input, протокол tcp, действие drop (должно блокировать всё, что не разрешено правилом №1).
Но я проверял — это не работает. Когда user1 подключается к маршрутизатору MK, он может пинговать, подключаться по telnet и ftp к любым серверам. Хочу ограничить доступ user1 только сервером 1.1.1.1 из интернета из соображений безопасности. Кто может посоветовать, что делать? Спасибо!
