’n VPN-gebruiker het een drukker nodig, nie die hele LAN nie

Die reël lyk reg en die drukker weier steeds. Of die drukker werk en dieselfde gebruiker kan ook die lêerbediener bereik, wat erger is. Albei uitkomste kom gewoonlik van dieselfde plek: die smal reël is bygevoeg by ’n reëlversameling wat reeds iets breër toegestaan het. Die lees van die effektiewe volgorde verduidelik die resultaat voordat enige nuwe reël geskryf word.

Die simptoom: die smal reël het niks verander

’n Toegewyde VPN-poel, een drukkeradres en ’n deurlaat-reël op TCP 631 is ’n redelike ontwerp. Wanneer dit glad geen verandering bring nie, moet die eerste vermoede wees dat die verkeer nooit daardie reël bereik het nie. ’n Reël beslis net oor verkeer wat by sy posisie in die evalueringsorde aankom. Die velde is maklik om te kontroleer en is selde die rede waarom dit misluk.

Die teenoorgestelde simptoom is makliker om te mis. Die drukwerk slaag, en so ook ’n verbinding na ’n lêerdeel wat die gebruiker nooit bedoel was om te bereik nie. Dit beteken iets vroeër het reeds die LAN toegelaat.

Albei simptome dui op ordening eerder as op die velde in die nuwe reël. Een van hulle is ’n reël wat nooit gepas het nie, en die ander is ’n reël wat te vroeg gepas het.

Watter reëlversameling die verkeer werklik tref

pfSense evalueer reëls per koppelvlak, en OpenVPN het sy eie oortjie waarvan die reëls op elke bediener- en kliëntinstansie van toepassing is. Daardie reëls word verwerk voor die reëls wat aan ’n spesifieke OpenVPN-koppelvlak toegewys is. ’n Breë deurlaat wat op die OpenVPN-oortjie gelaat word, geld dus ook vir hierdie gebruiker, wat die koppelvlak-oortjie ook al sê. Kopieer daardie ordening in die veranderingsrekord sodat die hersiening dit kan nagaan sonder om die GUI oop te maak.

Daarom kan ’n nuwe smal deurlaat nie toegang wegneem nie. Brandmuurreëls voeg toestemming by, en hulle neem dit nie van ’n vroeëre passing weg nie.

Lees die effektiewe lys van bo af en stop by die eerste reël wat by die verkeer pas. Daardie eerste passing is die besluit, en alles daaronder is onbereikbaar vir daardie vloei.

Skryf die deurlaat-reël vanuit die drukwerk

Begin by die werk eerder as by die drukker. Die gebruiker het die drukdienste op die drukkeradres nodig, so die reël noem daardie adres, daardie protokol en daardie poort. ’n Alias vir die VPN-poel en ’n alias vir die drukker hou die reël leesbaar.

Weerstaan die drang om ontdekkings- of administrasiepoorte by te voeg om ’n towenaar gelukkiger te maak. ’n Reël wat die hele drukker toelaat, is ’n ander beleid as een wat ’n drukry toelaat.

Hou die drukker se eie verifikasie in plek. ’n Netwerktoelating is nie ’n plaasvervanger daarvoor nie. ’n Rekening op drukwaglys-vlak is die regte beheer oor wie wat mag druk.

Ses waardes dra die hele bedoeling: deurlaat as die aksie, IPv4 as die familie, TCP as die protokol, die poel-alias as die bron, die drukker-alias as die bestemming, en 631 as die poort. Enigiets buite daardie ses is ’n ander beleid as die een wat aangevra word.

Gee die kliënt ’n pad sonder ’n LAN-toelating

Die kliënt het ’n roete na die drukkeradres nodig, en die kantoorkant het ’n antwoordpad na die VPN-poel nodig. Om ’n enkele /32 te stoot hou die kliëntkonfigurasie smal, wat probleemoplossing help. Dit is nie die magtigingsgrens nie, want ’n kliënt kan self roetes byvoeg.

As die drukry by naam geadresseer word, definieer die resolveer-afhanklikheid apart. Om die hele LAN toe te laat sodat een naam opgelos word, is ’n veel groter verandering as wat die werk vereis.

Kies doelbewus tussen terugroetering na die poel en die vertaling van die bron. Albei werk, en elkeen verberg iets anders in die logs.

Toets die weiering sowel as die werk

Dien een klein, nie-sensitiewe werk vanaf die VPN-gebruiker in, probeer dan ’n LAN-bron wat geweier behoort te word en die brandmuur se eie administrasieblad. Al drie toetse hoort in dieselfde sessie, want dit is die enigste manier om die beleid as geheel te sien. ’n Suksesvolle drukwerk alleen bewys byna niks oor die grens nie.

Hersien IPv6 en enige ander aktiewe VPN-pad voordat jy die ontplooiing slegs-drukker noem. ’n Reëlversameling wat in een adresfamilie smal is, kan in die ander heeltemal oop wees.