مستخدم VPN يحتاج طابعة واحدة، لا الشبكة المحلية بأكملها

تبدو القاعدة صحيحة ومع ذلك ترفض الطابعة. أو تعمل الطابعة ويستطيع المستخدم نفسه الوصول أيضًا إلى خادم الملفات، وهذا أسوأ. كلتا النتيجتين تأتيان عادة من المصدر نفسه: أُضيفت القاعدة الضيقة إلى مجموعة قواعد منحت بالفعل شيئًا أوسع. قراءة الترتيب الفعلي تفسر النتيجة قبل كتابة أي قاعدة جديدة.

العرض: القاعدة الضيقة لم تغيّر شيئًا

مجمّع VPN مخصص، وعنوان طابعة واحد، وقاعدة تمرير على TCP 631 هو تصميم معقول. عندما لا يُحدث ذلك أي تغيير على الإطلاق، يجب أن يكون الاشتباه الأول أن حركة المرور لم تصل قط إلى تلك القاعدة. القاعدة لا تقرر إلا لحركة المرور التي تصل إلى موضعها في ترتيب التقييم. الحقول سهلة الفحص ونادرًا ما تكون سبب الفشل.

العرض المعاكس أسهل في الإغفال. تنجح مهمة الطباعة، وينجح معها اتصال بمشاركة ملفات لم يكن المستخدم نفسه مقصودًا بالوصول إليها. هذا يعني أن شيئًا أبكر كان قد سمح بالشبكة المحلية بالفعل.

يشير العرضان إلى الترتيب لا إلى الحقول في القاعدة الجديدة. أحدهما قاعدة لم تطابق قط، والآخر قاعدة طابقت مبكرًا جدًا.

أي مجموعة قواعد تصادفها حركة المرور فعليًا

يقيّم pfSense القواعد لكل واجهة، ولـ OpenVPN تبويب خاص به تطبق قواعده على كل خادم وكل نسخة عميل. تُعالج تلك القواعد قبل القواعد المخصصة لواجهة OpenVPN معينة. لذلك ينطبق تمرير واسع تُرك على تبويب OpenVPN على هذا المستخدم أيضًا، مهما قال تبويب الواجهة. انسخ هذا الترتيب في سجل التغيير حتى تتمكن المراجعة من فحصه دون فتح الواجهة الرسومية.

لهذا لا يمكن لتمرير ضيق جديد أن ينتزع وصولًا. قواعد الجدار الناري تضيف إذنًا، ولا تسحبه من مطابقة أبكر.

اقرأ القائمة الفعلية من الأعلى وتوقف عند أول قاعدة تطابق حركة المرور. تلك المطابقة الأولى هي القرار، وكل ما تحتها غير قابل للوصول لذلك التدفق.

اكتب قاعدة التمرير من مهمة الطباعة

ابدأ من المهمة لا من الطابعة. يحتاج المستخدم خدمة الطباعة على عنوان الطابعة، فالقاعدة تسمّي ذلك العنوان وذلك البروتوكول وذلك المنفذ. اسم مستعار لمجمّع VPN واسم مستعار للطابعة يبقيان القاعدة مقروءة.

قاوم إضافة منافذ الاكتشاف أو الإدارة لإرضاء معالج. القاعدة التي تقبل الطابعة بأكملها سياسة مختلفة عن قاعدة تقبل قائمة طباعة.

أبقِ مصادقة الطابعة نفسها في مكانها. إذن الشبكة ليس بديلًا عنها. الحساب على مستوى قائمة الانتظار هو الضابط الصحيح لمن يجوز له طباعة ماذا.

ست قيم تحمل القصد كله: التمرير كإجراء، وIPv4 كعائلة، وTCP كبروتوكول، والاسم المستعار للمجمّع كمصدر، والاسم المستعار للطابعة كهدف، و631 كمنفذ. أي شيء يتجاوز تلك الست هو سياسة مختلفة عن المطلوب.

امنح العميل مسارًا دون إذن للشبكة المحلية

يحتاج العميل مسارًا إلى عنوان الطابعة، ويحتاج جانب المكتب مسار رد إلى مجمّع VPN. دفع /32 واحد يبقي إعداد العميل ضيقًا، وهو ما يساعد في استكشاف الأعطال. وهو ليس حدّ التفويض، لأن العميل يستطيع إضافة مسارات بنفسه.

إذا كانت قائمة الانتظار تُعنون بالاسم، فعرّف تبعية المحلّل بشكل منفصل. السماح للشبكة المحلية بأكملها كي يُحلّ اسم واحد تغيير أكبر بكثير مما تتطلبه المهمة.

اختر بوعي بين التوجيه رجوعًا إلى المجمّع وترجمة المصدر. كلاهما يعمل، وكل منهما يخفي شيئًا مختلفًا عن السجلات.

اختبر الرفض كما تختبر المهمة

أرسل مهمة صغيرة غير حساسة من مستخدم VPN، ثم جرّب موردًا في الشبكة المحلية ينبغي رفضه وصفحة إدارة الجدار الناري نفسها. تنتمي الاختبارات الثلاثة إلى الجلسة نفسها، لأنها الطريقة الوحيدة لرؤية السياسة ككل. مهمة طباعة ناجحة وحدها لا تثبت شيئًا تقريبًا عن الحد.

راجع IPv6 وأي مسار VPN آخر نشط قبل أن تصف النشر بأنه للطابعة فقط. مجموعة قواعد ضيقة في عائلة عناوين يمكن أن تكون مفتوحة تمامًا في الأخرى.