MikroTik, SMS എന്നിവ വഴി VPN ഉപയോക്താക്കളുടെ ടു-ഫാക്ടർ പ്രാമാണീകരണം

ഹലോ സഹപ്രവർത്തകരെ! ഇന്ന്, "വിദൂര ജോലി" എന്ന വിഷയത്തെക്കുറിച്ചുള്ള അഭിനിവേശത്തിന്റെ തീവ്രത അൽപ്പം ശമിച്ചപ്പോൾ, കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് ജീവനക്കാരുടെ വിദൂര ആക്‌സസ് എന്ന ചുമതല ഭൂരിപക്ഷം അഡ്മിൻമാരും വിജയിച്ചു, VPN സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിൽ എന്റെ ദീർഘകാല അനുഭവം പങ്കിടാനുള്ള സമയമാണിത്. ഈ ലേഖനം ഇപ്പോൾ IPSec IKEv2, xAuth എന്നിവയിൽ ഫാഷൻ ആയിരിക്കില്ല. ഇത് ഒരു സംവിധാനം നിർമ്മിക്കുന്നതിനെക്കുറിച്ചാണ്. രണ്ട്-ഘടക പ്രാമാണീകരണം (2FA) MikroTik ഒരു VPN സെർവറായി പ്രവർത്തിക്കുമ്പോൾ VPN ഉപയോക്താക്കൾ. അതായത്, PPP പോലുള്ള "ക്ലാസിക്" പ്രോട്ടോക്കോളുകൾ ഉപയോഗിക്കുമ്പോൾ.

ഉപയോക്തൃ അക്കൗണ്ട് "ഹൈജാക്ക്" ചെയ്താലും MikroTik PPP-VPN എങ്ങനെ സംരക്ഷിക്കാമെന്ന് ഇന്ന് ഞാൻ നിങ്ങളോട് പറയും. ഈ സ്കീം എന്റെ ഒരു ഉപഭോക്താവിന് പരിചയപ്പെടുത്തിയപ്പോൾ, "ശരി, ഇപ്പോൾ ഇത് ഒരു ബാങ്കിലെ പോലെയാണ്!" എന്ന് അദ്ദേഹം ചുരുക്കമായി വിവരിച്ചു.

ഈ രീതി ബാഹ്യ ഓതന്റിക്കേറ്റർ സേവനങ്ങൾ ഉപയോഗിക്കുന്നില്ല. റൂട്ടർ തന്നെ ആന്തരികമായി ചുമതലകൾ നിർവഹിക്കുന്നു. കണക്റ്റുചെയ്യുന്ന ക്ലയന്റിനായി ചെലവില്ല. പിസി ക്ലയന്റുകൾക്കും മൊബൈൽ ഉപകരണങ്ങൾക്കും ഈ രീതി പ്രവർത്തിക്കുന്നു.

പൊതു സംരക്ഷണ പദ്ധതി ഇപ്രകാരമാണ്:

1. VPN സെർവറിലേക്ക് വിജയകരമായി കണക്‌റ്റ് ചെയ്‌ത ഉപയോക്താവിന്റെ ആന്തരിക IP വിലാസം സ്വയമേവ ഗ്രേലിസ്റ്റ് ചെയ്യപ്പെടും.
2. കണക്ഷൻ ഇവന്റ് സ്വയമേവ ഒരു ഒറ്റത്തവണ കോഡ് സൃഷ്ടിക്കുന്നു, അത് ലഭ്യമായ ഒരു രീതി ഉപയോഗിച്ച് ഉപയോക്താവിന് അയയ്ക്കുന്നു.
3. ഒറ്റത്തവണ പാസ്‌കോഡ് ലഭിക്കാൻ കാത്തിരിക്കുന്ന "ഓതന്റിക്കേറ്റർ" സേവനം ഒഴികെ, ഈ ലിസ്റ്റിലെ വിലാസങ്ങൾക്ക് പ്രാദേശിക നെറ്റ്‌വർക്ക് ഉറവിടങ്ങളിലേക്ക് പരിമിതമായ ആക്‌സസ് ഉണ്ട്.
4. കോഡ് അവതരിപ്പിച്ച ശേഷം, ഉപയോക്താവിന് നെറ്റ്‌വർക്കിന്റെ ആന്തരിക ഉറവിടങ്ങളിലേക്ക് ആക്‌സസ് ഉണ്ട്.

ആദ്യത്തേത് എനിക്ക് അഭിമുഖീകരിക്കേണ്ടി വന്ന ഏറ്റവും ചെറിയ പ്രശ്നം, ഉപയോക്താവിന് 2FA കോഡ് അയയ്‌ക്കുന്നതിനുള്ള കോൺടാക്റ്റ് വിവരങ്ങൾ സംഭരിക്കുക എന്നതാണ്. Mikrotik-ലെ ഉപയോക്താക്കൾക്ക് അനുയോജ്യമായ അനിയന്ത്രിതമായ ഡാറ്റ ഫീൽഡുകൾ സൃഷ്ടിക്കുന്നത് അസാധ്യമായതിനാൽ, നിലവിലുള്ള "അഭിപ്രായം" ഫീൽഡ് ഉപയോഗിച്ചു:

/ppp രഹസ്യങ്ങൾ പേര് ചേർക്കുക=പെട്രോവ് പാസ്‌വേഡ്=4M@ngr! അഭിപ്രായം="89876543210"

രണ്ടാമത് പ്രശ്നം കൂടുതൽ ഗുരുതരമായി മാറി - പാതയുടെ തിരഞ്ഞെടുപ്പും കോഡ് ഡെലിവർ ചെയ്യുന്ന രീതിയും. നിലവിൽ മൂന്ന് സ്കീമുകൾ നടപ്പിലാക്കുന്നു: എ) യുഎസ്ബി-മോഡം വഴിയുള്ള എസ്എംഎസ് ബി) ഇ-മെയിൽ സി) റെഡ് സെല്ലുലാർ ഓപ്പറേറ്ററുടെ കോർപ്പറേറ്റ് ക്ലയന്റുകൾക്ക് ഇ-മെയിൽ വഴിയുള്ള എസ്എംഎസ് ലഭ്യമാണ്.

അതെ, SMS സ്കീമുകൾ ചെലവ് കൊണ്ടുവരുന്നു. എന്നാൽ നിങ്ങൾ നോക്കുകയാണെങ്കിൽ, "സുരക്ഷ എപ്പോഴും പണത്തെക്കുറിച്ചാണ്" (സി).
ഇ-മെയിലുമായുള്ള സ്കീം എനിക്ക് വ്യക്തിപരമായി ഇഷ്ടമല്ല. ക്ലയന്റ് ആധികാരികമാക്കുന്നതിന് മെയിൽ സെർവർ ലഭ്യമാകേണ്ടത് ആവശ്യമായതുകൊണ്ടല്ല - ട്രാഫിക് വിഭജിക്കുന്നത് ഒരു പ്രശ്നമല്ല. എന്നിരുന്നാലും, ഒരു ക്ലയന്റ് അശ്രദ്ധമായി ഒരു ബ്രൗസറിൽ vpn, ഇമെയിൽ പാസ്‌വേഡുകൾ സംരക്ഷിക്കുകയും തുടർന്ന് അവരുടെ ലാപ്‌ടോപ്പ് നഷ്ടപ്പെടുകയും ചെയ്താൽ, ആക്രമണകാരിക്ക് അതിൽ നിന്ന് കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് പൂർണ്ണ ആക്‌സസ് ലഭിക്കും.

അതിനാൽ, ഇത് തീരുമാനിച്ചു - ഞങ്ങൾ SMS സന്ദേശങ്ങൾ ഉപയോഗിച്ച് ഒറ്റത്തവണ കോഡ് ഡെലിവർ ചെയ്യുന്നു.

മൂന്നാമത് എവിടെ എന്നതായിരുന്നു പ്രശ്നം MikroTik-ൽ 2FA-യ്‌ക്കായി ഒരു വ്യാജ-റാൻഡം കോഡ് എങ്ങനെ ജനറേറ്റ് ചെയ്യാം. RouterOS സ്‌ക്രിപ്റ്റിംഗ് ഭാഷയിൽ റാൻഡം() ഫംഗ്‌ഷന്റെ അനലോഗ് ഒന്നുമില്ല, കൂടാതെ ഞാൻ മുമ്പ് നിരവധി ക്രച്ച് സ്‌ക്രിപ്റ്റ് വ്യാജ-റാൻഡം നമ്പർ ജനറേറ്ററുകൾ കണ്ടിട്ടുണ്ട്. പല കാരണങ്ങളാൽ എനിക്ക് അവയൊന്നും ഇഷ്ടപ്പെട്ടില്ല.

വാസ്തവത്തിൽ, MikroTik-ൽ ഒരു വ്യാജ-റാൻഡം സീക്വൻസ് ജനറേറ്റർ ഉണ്ട്! /സർട്ടിഫിക്കറ്റുകൾ scep-server-ന്റെ പശ്ചാത്തലത്തിൽ ഒരു ഉപരിപ്ലവമായ നോട്ടത്തിൽ നിന്ന് ഇത് മറച്ചിരിക്കുന്നു. ആദ്യ വഴി ഒറ്റത്തവണ പാസ്‌വേഡ് നേടുന്നത് എളുപ്പവും ലളിതവുമാണ് - കമാൻഡ് ഉപയോഗിച്ച് /സർട്ടിഫിക്കറ്റുകൾ scep-server otp ജനറേറ്റ് ചെയ്യുന്നു. ഞങ്ങൾ ഒരു ലളിതമായ വേരിയബിൾ അസൈൻമെന്റ് ഓപ്പറേഷൻ നടത്തുകയാണെങ്കിൽ, സ്ക്രിപ്റ്റുകളിൽ പിന്നീട് ഉപയോഗിക്കാവുന്ന ഒരു അറേ മൂല്യം നമുക്ക് ലഭിക്കും.

രണ്ടാമത്തെ വഴി പ്രയോഗിക്കാൻ എളുപ്പമുള്ള ഒറ്റത്തവണ പാസ്‌വേഡ് നേടുന്നു - ഒരു ബാഹ്യ സേവനം ഉപയോഗിച്ച് random.org കപട-റാൻഡം നമ്പറുകളുടെ ആവശ്യമുള്ള തരത്തിലുള്ള ക്രമം സൃഷ്ടിക്കാൻ. ഇവിടെ ലളിതമാക്കിയിരിക്കുന്നു കാൻറ്റൈൽവർ ഒരു വേരിയബിളിലേക്ക് ഡാറ്റ നേടുന്നതിനുള്ള ഉദാഹരണം:

കോഡ്
:global rnd1 [:pick ([/tool fetch url="https://www.random.org/strings/?num=1&len=7&digits=on&unique=on&format=plain&rnd=new" as-value output=user ]->"da
ta") 1 6] :put $rnd1

കൺസോളിനായി ഫോർമാറ്റ് ചെയ്‌ത ഒരു അഭ്യർത്ഥന (സ്ക്രിപ്റ്റ് ബോഡിയിൽ പ്രത്യേക പ്രതീകങ്ങൾ ഒഴിവാക്കേണ്ടത് ആവശ്യമാണ്) $rnd1 വേരിയബിളിലേക്ക് ആറ് അക്കങ്ങളുടെ ഒരു സ്ട്രിംഗ് ലഭിക്കും. ഇനിപ്പറയുന്ന "put" കമാൻഡ് MikroTik കൺസോളിൽ വേരിയബിൾ പ്രദർശിപ്പിക്കുന്നു.

നാലാമത്തെ പ്രശ്നം അത് വേഗത്തിൽ പരിഹരിക്കപ്പെടേണ്ടതായിരുന്നു - പ്രാമാണീകരണത്തിന്റെ രണ്ടാം ഘട്ടത്തിൽ കണക്റ്റുചെയ്‌ത ക്ലയന്റ് അതിന്റെ ഒറ്റത്തവണ കോഡ് എങ്ങനെ, എവിടെ കൈമാറും.

MikroTik റൂട്ടറിൽ കോഡ് സ്വീകരിക്കാനും ഒരു നിർദ്ദിഷ്ട ക്ലയന്റുമായി പൊരുത്തപ്പെടുത്താനും കഴിയുന്ന ഒരു സേവനം ഉണ്ടായിരിക്കണം. നൽകിയിരിക്കുന്ന കോഡ് പ്രതീക്ഷിച്ചതുമായി പൊരുത്തപ്പെടുന്നുവെങ്കിൽ, ക്ലയന്റിന്റെ വിലാസം ഒരു നിശ്ചിത "വൈറ്റ്" ലിസ്റ്റിൽ ഉൾപ്പെടുത്തണം, അതിൽ നിന്നുള്ള വിലാസങ്ങൾ കമ്പനിയുടെ ആന്തരിക നെറ്റ്‌വർക്കിലേക്ക് ആക്‌സസ്സ് അനുവദിക്കും.

സേവനങ്ങളുടെ മോശം തിരഞ്ഞെടുപ്പ് കാരണം, മൈക്രോടിക്കിൽ നിർമ്മിച്ച വെബ്പ്രോക്സി ഉപയോഗിച്ച് http വഴി കോഡുകൾ സ്വീകരിക്കാൻ തീരുമാനിച്ചു. കൂടാതെ, ഫയർവാളിന് ഐപി വിലാസങ്ങളുടെ ഡൈനാമിക് ലിസ്റ്റുകൾക്കൊപ്പം പ്രവർത്തിക്കാൻ കഴിയുമെന്നതിനാൽ, കോഡിനായി തിരയുന്നത് ഫയർവാളാണ്, അത് ക്ലയന്റ് ഐപിയുമായി പൊരുത്തപ്പെടുത്തുകയും Layer7 regexp ഉപയോഗിച്ച് "വൈറ്റ്" ലിസ്റ്റിലേക്ക് ചേർക്കുകയും ചെയ്യുന്നു. റൂട്ടറിന് തന്നെ ഒരു സോപാധിക DNS നാമം "gw.local" നൽകിയിട്ടുണ്ട്, PPP ക്ലയന്റുകൾക്ക് നൽകുന്നതിനായി അതിൽ ഒരു സ്റ്റാറ്റിക് എ-റെക്കോർഡ് സൃഷ്ടിച്ചു:

ഡിഎൻഎസ്
/ip dns സ്റ്റാറ്റിക് ചേർക്കുക പേര്=gw.local വിലാസം=172.31.1.1

പ്രോക്‌സിയിൽ സ്ഥിരീകരിക്കാത്ത ക്ലയന്റുകളുടെ ട്രാഫിക് ക്യാപ്‌ചർ ചെയ്യുന്നു:
/ip firewall nat add chain=dstnat dst-port=80,443 in-interface=2fa protocol=tcp !src-address-list=2fa_approved action=redirect to-ports=3128


ഈ സാഹചര്യത്തിൽ, പ്രോക്സിക്ക് രണ്ട് പ്രവർത്തനങ്ങൾ ഉണ്ട്.

1. ക്ലയന്റുകളുമായി tcp കണക്ഷനുകൾ തുറക്കുക;

2. വിജയകരമായ അംഗീകാരത്തിന്റെ കാര്യത്തിൽ, വിജയകരമായ പ്രാമാണീകരണത്തെക്കുറിച്ച് അറിയിക്കുന്ന ഒരു പേജിലേക്കോ ചിത്രത്തിലേക്കോ ക്ലയന്റ് ബ്രൗസർ റീഡയറക്‌ട് ചെയ്യുക:

പ്രോക്സി കോൺഫിഗറേഷൻ
/ip proxy
set enabled=yes port=3128
/ip proxy access
add action=deny disabled=no redirect-to=gw.local./mikrotik_logo.png src-address=0.0.0.0/0

പ്രധാനപ്പെട്ട കോൺഫിഗറേഷൻ ഘടകങ്ങൾ ഞാൻ പട്ടികപ്പെടുത്തും:

1. ഇന്റർഫേസ്-ലിസ്റ്റ് "2fa" - ക്ലയന്റ് ഇന്റർഫേസുകളുടെ ഡൈനാമിക് ലിസ്റ്റ്, 2FA-നുള്ളിൽ പ്രോസസ്സിംഗ് ആവശ്യമുള്ള ട്രാഫിക്;
2. വിലാസ-ലിസ്റ്റ് "2fa_jailed" - VPN ക്ലയന്റുകളുടെ ടണൽ IP വിലാസങ്ങളുടെ "ഗ്രേ" ലിസ്റ്റ്;
3. address_list "2fa_approved" - രണ്ട്-ഘടക പ്രാമാണീകരണം വിജയകരമായി പൂർത്തിയാക്കിയ VPN ക്ലയന്റുകളുടെ ടണൽ IP വിലാസങ്ങളുടെ "വൈറ്റ്" ലിസ്റ്റ്.
4. ഫയർവാൾ ശൃംഖല "input_2fa" - ഇത് ഒരു അംഗീകൃത കോഡിന്റെ സാന്നിധ്യത്തിനായി tcp പാക്കറ്റുകൾ പരിശോധിക്കുകയും ആവശ്യമുള്ള കോഡ് അയച്ചയാളുടെ IP വിലാസവുമായി പൊരുത്തപ്പെടുത്തുകയും ചെയ്യുന്നു. ചങ്ങലയിലെ നിയമങ്ങൾ കൂട്ടിച്ചേർക്കുകയും ചലനാത്മകമായി നീക്കം ചെയ്യുകയും ചെയ്യുന്നു.

പാക്കറ്റ് പ്രോസസ്സിംഗിന്റെ ഒരു ലളിതമായ ഫ്ലോചാർട്ട് ഇതുപോലെ കാണപ്പെടുന്നു:

പ്രാമാണീകരണത്തിന്റെ രണ്ടാം ഘട്ടം ഇതുവരെ കടന്നിട്ടില്ലാത്ത "ഗ്രേ" ലിസ്റ്റിൽ നിന്നുള്ള ക്ലയന്റുകളിൽ നിന്നുള്ള ട്രാഫിക്കിന്റെ Layer7 പരിശോധനയിൽ പ്രവേശിക്കുന്നതിന്, സ്റ്റാൻഡേർഡ് "ഇൻപുട്ട്" ശൃംഖലയിൽ ഒരു നിയമം സൃഷ്ടിച്ചു:

കോഡ്
/ip firewall filter add chain=input !src-address-list=2fa_approved action=jump jump-target=input_2fa

ഇപ്പോൾ നമുക്ക് ഈ സമ്പത്തെല്ലാം പിപിപി സേവനത്തിലേക്ക് ഉറപ്പിക്കാൻ തുടങ്ങാം. MikroTik നിങ്ങളെ പ്രൊഫൈലുകളിൽ (ppp-പ്രൊഫൈൽ) സ്‌ക്രിപ്റ്റുകൾ ഉപയോഗിക്കാനും ഒരു പിപിപി കണക്ഷൻ സ്ഥാപിക്കുന്നതിനും തകർക്കുന്നതിനുമുള്ള ഇവന്റുകളിലേക്ക് അവരെ നിയോഗിക്കാൻ അനുവദിക്കുന്നു. പിപിപി-പ്രൊഫൈൽ ക്രമീകരണങ്ങൾ പിപിപി സെർവറിന് മൊത്തത്തിലും വ്യക്തിഗത ഉപയോക്താക്കൾക്കും പ്രയോഗിക്കാൻ കഴിയും. അതേ സമയം, ഉപയോക്താവിന് നിയുക്തമാക്കിയ പ്രൊഫൈലിന് മുൻഗണനയുണ്ട്, സെർവറിനായി മൊത്തത്തിൽ തിരഞ്ഞെടുത്ത പ്രൊഫൈലിന്റെ പാരാമീറ്ററുകൾ അതിന്റെ നിർദ്ദിഷ്ട പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് അസാധുവാക്കുന്നു.

ഈ സമീപനത്തിന്റെ ഫലമായി, രണ്ട്-ഘടക പ്രാമാണീകരണത്തിനായി ഞങ്ങൾക്ക് ഒരു പ്രത്യേക പ്രൊഫൈൽ സൃഷ്‌ടിക്കാനും അത് എല്ലാ ഉപയോക്താക്കൾക്കല്ല, മറിച്ച് അത് ആവശ്യമാണെന്ന് കരുതുന്നവർക്ക് മാത്രം നൽകാനും കഴിയും. അന്തിമ ഉപയോക്താക്കളെ ബന്ധിപ്പിക്കുന്നതിന് മാത്രമല്ല, അതേ സമയം സൈറ്റ്-ടു-സൈറ്റ് കണക്ഷനുകൾ നിർമ്മിക്കാനും നിങ്ങൾ PPP സേവനങ്ങൾ ഉപയോഗിക്കുകയാണെങ്കിൽ ഇത് പ്രസക്തമായേക്കാം.

പുതുതായി സൃഷ്ടിച്ച പ്രത്യേക പ്രൊഫൈലിൽ, വിലാസങ്ങളുടെയും ഇന്റർഫേസുകളുടെയും "ഗ്രേ" ലിസ്റ്റുകളിലേക്ക് കണക്റ്റുചെയ്‌ത ഉപയോക്താവിന്റെ വിലാസത്തിന്റെയും ഇന്റർഫേസിന്റെയും ഡൈനാമിക് കൂട്ടിച്ചേർക്കൽ ഞങ്ങൾ ഉപയോഗിക്കുന്നു:

വിൻബോക്സ്

കോഡ്
/ppp profile add address-list=2fa_jailed change-tcp-mss=no local-address=192.0.2.254 name=2FA interface-list=2fa only-one=yes remote-address=dhcp_pool1 use-compression=no use-encryption= required use-mpls=no use-upnp=no dns-server=172.31.1.1

dstnat (പ്രീറൂട്ടിംഗ്) ശൃംഖലയിലെ നോൺ-സെക്കൻഡറി VPN ക്ലയന്റുകളിൽ നിന്നുള്ള ട്രാഫിക് കണ്ടെത്തുന്നതിനും ക്യാപ്‌ചർ ചെയ്യുന്നതിനും "വിലാസ-ലിസ്റ്റ്", "ഇന്റർഫേസ്-ലിസ്റ്റ്" ലിസ്റ്റുകൾ ഉപയോഗിക്കേണ്ടത് ആവശ്യമാണ്.

തയ്യാറെടുപ്പ് പൂർത്തിയാകുമ്പോൾ, അധിക ഫയർവാൾ ശൃംഖലകളും ഒരു പ്രൊഫൈലും സൃഷ്ടിക്കപ്പെടുമ്പോൾ, 2FA കോഡിന്റെയും വ്യക്തിഗത ഫയർവാൾ നിയമങ്ങളുടെയും സ്വയമേവ സൃഷ്ടിക്കുന്നതിനുള്ള ഉത്തരവാദിത്തമുള്ള ഒരു സ്ക്രിപ്റ്റ് ഞങ്ങൾ എഴുതും.

ഡോക്യുമെന്റേഷൻ wiki.mikrotik.com PPP-Profile-ൽ PPP ക്ലയന്റ് കണക്റ്റ്-ഡിസ്‌കണക്റ്റ് ഇവന്റുകളുമായി ബന്ധപ്പെട്ട വേരിയബിളുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ കൊണ്ട് ഞങ്ങളെ സമ്പന്നമാക്കുന്നു "ഉപയോക്തൃ ലോഗിൻ ഇവന്റിൽ സ്ക്രിപ്റ്റ് എക്സിക്യൂട്ട് ചെയ്യുക. ഇവ ഇവന്റ് സ്ക്രിപ്റ്റിനായി ആക്സസ് ചെയ്യാവുന്ന ലഭ്യമായ വേരിയബിളുകളാണ്: ഉപയോക്താവ്, പ്രാദേശിക വിലാസം, റിമോട്ട് വിലാസം, കോളർ-ഐഡി, കോൾഡ്-ഐഡി, ഇന്റർഫേസ്". അവയിൽ ചിലത് നമുക്ക് വളരെ ഉപയോഗപ്രദമാണ്.

PPP ഓൺ-അപ്പ് കണക്ഷൻ ഇവന്റിനായി പ്രൊഫൈലിൽ ഉപയോഗിച്ചിരിക്കുന്ന കോഡ്

#Логируем для отладки полученные переменные 
:log info (

quot;local-address")

:log info (

quot;remote-address")

:log info (

quot;caller-id")

:log info (

quot;called-id")

:log info ([/int pptp-server get (

quot;interface") name])

#Объявляем свои локальные переменные

:local listname "2fa_jailed"

:local viamodem false

:local modemport "usb2"

#ищем автоматически созданную запись в адрес-листе "2fa_jailed"

:local recnum1 [/ip fi address-list find address=(

quot;remote-address") list=$listname]
#получаем псевдослучайный код через random.org

#:local rnd1 [:pick ([/tool fetch url="https://www.random.org/strings/?num=1&len=7&digits=on&unique=on&format=plain&rnd=new" as-value output=user]->"data") 0 4]
#либо получаем псевдослучайный код через локальный генератор

#:local rnd1 [pick ([/cert scep-server otp generate as-value minutes-valid=1]->"password") 0 4 ]
#Ищем и обновляем коммент к записи в адрес-листе. Вносим искомый код для отладки

/ip fir address-list set $recnum1 comment=$rnd1

#получаем номер телефона куда слать SMS

:local vphone [/ppp secret get [find name=$user] comment]
#Готовим тело сообщения. Если клиент подключается к VPN прямо с телефона ему достаточно

#будет перейти прямо по ссылке из полученного сообщения

:local msgboby ("Your code: ".$comm1."n Or open link http://gw.local/otp/".$comm1."/")
# Отправляем SMS по выбранному каналу - USB-модем или email-to-sms

if $viamodem do={

/tool sms send phone-number=$vphone message=$msgboby port=$modemport }

else={

/tool e-mail send server=a.b.c.d [email protected] [email protected] subject="@".$vphone body=$msgboby }
#Генерируем Layer7 regexp

local vregexp ("otp\/".$comm1)

:local vcomment ("2fa_".(

quot;remote-address"))

/ip firewall layer7-protocol add name=(

quot;vcomment") comment=(

quot;remote-address") regexp=(

quot;vregexp")
#Генерируем правило проверяющее по Layer7 трафик клиента в поисках нужного кода

#и небольшой защитой от брутфорса кодов с помощью dst-limit

/ip firewall filter add action=add-src-to-address-list address-list=2fa_approved address-list-timeout=none-dynamic chain=input_2fa dst-port=80,443,3128 layer7-protocol=(

quot;vcomment") protocol=tcp src-address=(

quot;remote-address") dst-limit=1,1,src-address/1m40s



പ്രത്യേകിച്ച് മനസ്സില്ലാതെ കോപ്പി-പേസ്റ്റ് ചെയ്യാൻ ഇഷ്ടപ്പെടുന്നവർക്ക്, ഞാൻ നിങ്ങൾക്ക് മുന്നറിയിപ്പ് നൽകുന്നു - കോഡ് ടെസ്റ്റ് പതിപ്പിൽ നിന്ന് എടുത്തതാണ് കൂടാതെ ചെറിയ അക്ഷരത്തെറ്റുകൾ അടങ്ങിയിരിക്കാം. മനസ്സിലാക്കുന്ന ഒരാൾക്ക് കൃത്യമായി എവിടെയാണെന്ന് കണ്ടുപിടിക്കാൻ പ്രയാസമില്ല.
ഒരു ഉപയോക്താവ് വിച്ഛേദിക്കുമ്പോൾ, ഒരു "ഓൺ-ഡൗൺ" ഇവന്റ് ജനറേറ്റുചെയ്യുകയും പാരാമീറ്ററുകളുള്ള അനുബന്ധ സ്ക്രിപ്റ്റ് വിളിക്കുകയും ചെയ്യുന്നു. വിച്ഛേദിക്കപ്പെട്ട ഉപയോക്താവിനായി സൃഷ്ടിച്ച ഫയർവാൾ നിയമങ്ങൾ വൃത്തിയാക്കുക എന്നതാണ് ഈ സ്ക്രിപ്റ്റിന്റെ ചുമതല.
PPP ഓൺ-ഡൗൺ കണക്ഷൻ ഇവന്റിനായി പ്രൊഫൈലിൽ കോഡ് ഉപയോഗിച്ചു
:local vcomment ("2fa_".(

quot;remote-address"))

/ip firewall address-list remove [find address=(

quot;remote-address") list=2fa_approved]
/ip firewall filter remove [find chain="input_2fa" src-address=(

quot;remote-address") ]
/ip firewall layer7-protocol remove [find name=$vcomment]


തുടർന്ന് നിങ്ങൾക്ക് ഉപയോക്താക്കളെ സൃഷ്‌ടിക്കാനും അവരിൽ എല്ലാവരെയും അല്ലെങ്കിൽ ചിലരെയും രണ്ട്-ഘടക പ്രാമാണീകരണ പ്രൊഫൈലിലേക്ക് അസൈൻ ചെയ്യാനും കഴിയും.
വിൻബോക്സ്


കോഡ്

/ppp secrets set [find name=Petrov] profile=2FA
ക്ലയന്റ് വശത്ത് ഇത് എങ്ങനെ കാണപ്പെടുന്നു.
ഒരു VPN കണക്ഷൻ സ്ഥാപിക്കുമ്പോൾ, സിം കാർഡുള്ള ഒരു Android/iOS ഫോണിന്/ടാബ്‌ലെറ്റിന് ഇതുപോലുള്ള ഒരു SMS ലഭിക്കുന്നു:
എസ്എംഎസ്


ഫോൺ / ടാബ്‌ലെറ്റിൽ നിന്ന് നേരിട്ട് കണക്ഷൻ സ്ഥാപിച്ചിട്ടുണ്ടെങ്കിൽ, സന്ദേശത്തിൽ നിന്നുള്ള ലിങ്കിൽ ക്ലിക്കുചെയ്‌ത് നിങ്ങൾക്ക് 2FA വഴി പോകാം. ഇത് സുഖകരമാണ്.
ഒരു പിസിയിൽ നിന്നാണ് VPN കണക്ഷൻ സ്ഥാപിക്കുന്നതെങ്കിൽ, ഉപയോക്താവ് ഒരു മിനിമം പാസ്‌വേഡ് ഫോം നൽകേണ്ടതുണ്ട്. VPN സജ്ജീകരിക്കുമ്പോൾ ഒരു HTML ഫയലിന്റെ രൂപത്തിൽ ഒരു ചെറിയ ഫോം ഉപയോക്താവിന് നൽകുന്നു. ഫയൽ മെയിൽ വഴി പോലും അയയ്‌ക്കാൻ കഴിയും, അതുവഴി ഉപയോക്താവ് അത് സംരക്ഷിക്കുകയും സൗകര്യപ്രദമായ സ്ഥലത്ത് ഒരു കുറുക്കുവഴി സൃഷ്ടിക്കുകയും ചെയ്യുന്നു. ഇത് ഇതുപോലെ കാണപ്പെടുന്നു:
മേശപ്പുറത്ത് ലേബൽ ചെയ്യുക


ഉപയോക്താവ് കുറുക്കുവഴിയിൽ ക്ലിക്കുചെയ്യുന്നു, ഒരു ലളിതമായ കോഡ് എൻട്രി ഫോം തുറക്കുന്നു, അത് തുറന്ന URL-ലേക്ക് കോഡ് ഒട്ടിക്കും:
സ്ക്രീൻ ഫോം


ഏറ്റവും പ്രാകൃത രൂപം ഒരു ഉദാഹരണമായി നൽകിയിരിക്കുന്നു. ആഗ്രഹിക്കുന്നവർക്ക് സ്വയം പരിഷ്കരിക്കാം.
2fa_login_mini.html
<html>
<head> <title>SMS OTP login</title> <meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /> </head>
<body>
<form name="login" action="location.href='http://gw.local/otp/'+document.getElementById(‘text').value"  method="post"
 <input id="text" type="text"/> 
<input type="button" value="Login" onclick="location.href='http://gw.local/otp/'+document.getElementById('text').value"/> 
</form>
</body>
</html>

അംഗീകാരം വിജയകരമാണെങ്കിൽ, ഉപയോക്താവ് ബ്രൗസറിൽ MikroTik ലോഗോ കാണും, അത് വിജയകരമായ പ്രാമാണീകരണത്തെ സൂചിപ്പിക്കും:

WebProxy Deny Redirect ഉപയോഗിച്ച് ബിൽറ്റ്-ഇൻ MikroTik വെബ് സെർവറിൽ നിന്നാണ് ചിത്രം നൽകിയത് എന്നത് ശ്രദ്ധിക്കുക.
"ഹോട്ട്‌സ്‌പോട്ട്" ടൂൾ ഉപയോഗിച്ച് ഇമേജ് ഇഷ്‌ടാനുസൃതമാക്കാനും നിങ്ങളുടെ സ്വന്തം പതിപ്പ് അവിടെ അപ്‌ലോഡ് ചെയ്യാനും WebProxy ഉപയോഗിച്ച് റീഡയറക്‌ട് URL നിരസിക്കാനും കഴിയുമെന്ന് ഞാൻ കരുതുന്നു.
വിലകുറഞ്ഞ "കളിപ്പാട്ടം" Mikrotik $ 20 വാങ്ങാൻ ശ്രമിക്കുന്നവരോട് ഒരു വലിയ അഭ്യർത്ഥന, അത് $500 റൂട്ടർ മാറ്റിസ്ഥാപിക്കുക - അത് ചെയ്യരുത്. "hAP Lite" / "hAP mini" (ഹോം ആക്സസ് പോയിന്റ്) പോലുള്ള ഉപകരണങ്ങൾക്ക് വളരെ ദുർബലമായ CPU (സ്മിപ്പുകൾ) ഉണ്ട്, മാത്രമല്ല അവ ബിസിനസ്സ് വിഭാഗത്തിലെ ലോഡിനെ നേരിടാൻ സാധ്യതയില്ല.
മുന്നറിയിപ്പ്!  ഈ പരിഹാരത്തിന് ഒരു പോരായ്മയുണ്ട്: ക്ലയന്റുകൾ കണക്റ്റുചെയ്യുമ്പോഴോ വിച്ഛേദിക്കുമ്പോഴോ, കോൺഫിഗറേഷൻ മാറ്റങ്ങൾ സംഭവിക്കുന്നു, അത് റൂട്ടർ അതിന്റെ അസ്ഥിരമല്ലാത്ത മെമ്മറിയിൽ സംരക്ഷിക്കാൻ ശ്രമിക്കുന്നു. ധാരാളം ക്ലയന്റുകളുമായും ഇടയ്‌ക്കിടെയുള്ള കണക്ഷനുകളും വിച്ഛേദനങ്ങളും ഉള്ളതിനാൽ, ഇത് റൂട്ടറിലെ ആന്തരിക സംഭരണത്തിന്റെ അപചയത്തിലേക്ക് നയിച്ചേക്കാം.
PS: നിങ്ങളുടെ പ്രോഗ്രാമിംഗ് കഴിവുകൾ മതിയാകുമ്പോൾ ക്ലയന്റിലേക്ക് കോഡ് ഡെലിവറി ചെയ്യുന്നതിനുള്ള രീതികൾ വിപുലീകരിക്കുകയും അനുബന്ധമായി നൽകുകയും ചെയ്യാം. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ടെലിഗ്രാമിലേക്ക് സന്ദേശങ്ങൾ അയയ്ക്കാം അല്ലെങ്കിൽ ... ഓപ്ഷനുകൾ നിർദ്ദേശിക്കുക!
ലേഖനം നിങ്ങൾക്ക് ഉപയോഗപ്രദമാകുമെന്നും ചെറുകിട, ഇടത്തരം ബിസിനസുകളുടെ നെറ്റ്‌വർക്കുകൾ കുറച്ചുകൂടി സുരക്ഷിതമാക്കാൻ സഹായിക്കുമെന്നും ഞാൻ പ്രതീക്ഷിക്കുന്നു.
അവലംബം: www.habr.com