Mikrotik 防火墙规则：阻止除 VPN 服务器之外的所有连接

Question

正如标题所说，除了与 VPN 服务器的连接之外，我需要阻止从外部到 mikrotik 路由器的所有连接。然后允许远程桌面从 LAN 外部通过 VPN（L2TP/IPSec 或 PPTP）连接到 LAN 系统。

Mikrotik 路由器的防火墙中阻止除 rdp over vpn 之外的所有连接的规则是什么？

补充资料：

我们办公室有 LAN 设置，最终网关是 Mikrotik 路由器。我知道如何在客户端系统中创建 VPN 服务器、VPN 客户端并从客户端系统制作 rdp。我希望外部防火墙应该只允许连接到 VPN 服务器 vpn firewall rdp mikrotik

Answer 1

PPTP 用途

• TCP 端口 1723
• 用于隧道的 GRE（协议 ID 47）

在 Mikrotik 中接受 PPTP：

/ip firewall filter add chain=input action=accept protocol=tcp dst-port=1723
/ip firewall filter add chain=input action=accept protocol=gre

L2TP/IPSec 使用

• TCP 端口 1701
• 用于安全关联 (SA) 的 UDP 端口 500 - 协商安全方法（密码、证书、kerberos）
• AH（协议 ID 50） - 身份验证标头
• ESP（协议 ID 51）——封装的安全负载

在 Mikrotik 中接受 L2TP/IPSec：

/ip firewall filter add chain=input action=accept protocol=tcp dst-port=1701
/ip firewall filter add chain=input action=accept protocol=udp dst-port=500
/ip firewall filter add chain=input action=accept protocol=ipsec-ah
/ip firewall filter add chain=input action=accept protocol=ipsec-esp

阻止所有其他传入连接 (TCP)

/ip firewall filter add chain=input protocol=tcp action=reject reject-with=tcp-reset

您可以使用action=drop代替reject，但根据Hannes Schmidt 的说法，NMAP 仍然可以看到端口已打开但被防火墙丢弃（过滤）