MikroTik: PPTP в интернет, hairpin и «VPN для всех подряд»

Исходное состояние

Что было на площадке

RouterOS 6 на старом железе. В filter почти пусто, в nat — маскарад и десяток dst-nat «на всякий случай», включая RDP на бухгалтерский ПК. PPTP secret — один на всех магазины, пароль из четырёх букв имени фирмы.

Логи auth показывали попытки PPTP с азиатских и европейских подсетей сутками. Часть «успешных» логинов совпадала с ночными сессиями, которых у сотрудников не было.

Рамки

Ограничения и задача

• Кассы магазинов не должны падать в час пик.
• Бухгалтерия сидит в 1С с домашних ПК — полный отказ от удалёнки недопустим.
• Нет бюджета сразу менять железо во всех точках.
• Старый PPTP нельзя выключить в ту же минуту: нет карты, кто им пользуется.

Факт

Результат

• WAN больше не принимает PPTP и RDP. Попытки брутфорса ушли в /dev/null на filter.
• Филиалы ходят в офис по персональным туннелям, маршруты только до нужных подсетей.
• Появился документ: адреса, VLAN, кто имеет VPN, как отзывать доступ в день увольнения.

Практика

Выводы

• PPTP в 2020-х — это приглашение, не VPN.
• Один shared secret на три магазина означает, что уволенный кассир всё ещё в вашей 1С.
• Сначала карта факта, потом disable. Иначе касса в субботу вечером напомнит сама.