Зыходны NAT у pfSense: спачатку прачытайце створаныя правілы

Адкрыйце Firewall, затым NAT, затым Outbound і прачытайце рэжым, перш чым нешта дадаваць. У рэжыме Automatic pfSense стварае правілы для інтэрфейсаў WAN і, сярод іх, для сетак VPN аддаленага доступу, таму пул, які вы збіраецеся дадаць, часта ўжо ахоплены. Адсутнасць напісанага ўручную радка не даказвае адсутнасць перакладу. Парадак ніжэй не дае вам перавесці ўвесь міжсеткавы экран у рэжым Manual дзеля аднаго пула.

Рэжым вызначае, хто падтрымлівае пераклад для кожнай іншай сеткі на прыладзе, а гэта большае рашэнне, чым адно выключэнне для VPN.

Рэжым Automatic ужо ахоплівае пул VPN

Кожны рэжым мае свайго ўладальніка. Automatic стварае правілы для інтэрфейсаў WAN і ўключае сеткі VPN аддаленага доступу ў свае крыніцы. Hybrid захоўвае гэтыя створаныя правілы і дазваляе дадаваць ручныя побач з імі. Manual перастае нешта ствараць, таму кожны пераклад на міжсеткавым экране становіцца вашай адказнасцю, уключаючы тыя, якія вы не пісалі. Чацвёртая налада цалкам адключае зыходны NAT. Радок, які выглядае напісаным уручную, нічога не даказвае, пакуль вы не даведаецеся, які рэжым актыўны.

У рэжымах Automatic і Hybrid старонка таксама паказвае створаныя правілы. Прачытайце іх, перш чым рабіць выснову, што пул VPN не мае перакладу: шукайце сетку пула ў слупку крыніцы, а інтэрфейс WAN — у слупку інтэрфейса.

Выбірайце Hybrid толькі для разгледжанага выключэння

Дакументаванае выключэнне ўсё яшчэ магчымае, калі палітыка выхаду сапраўды адрозніваецца. Уявіце сервер, які выдае 10.90.0.0/24, дзе міжсеткавы экран павінен забяспечваць выхад у інтэрнэт па IPv4, а маршрутызацыя ўжо выбірае WAN. Чаканае пераўтварэнне — гэта крыніца 10.90.0.23, перапісаная на адрас WAN. Праверце, ці ўжо робіць гэта створанае правіла на гэтым выхадзе; калі не, Hybrid захоўвае аўтаматычнае ахопліванне і дадае ваша разгледжанае правіла.

Выкарыстоўвайце ў якасці крыніцы фактычны пул VPN або падтрыманы псеўданім для яго, і ніколі не выбірайце непатрэбны адрас толькі таму, што назва экзэмпляра OpenVPN адсутнічае ў спісе выбару. Пазбягайце крыніцы any, якая таксама перакладае трафік, што стварае сам міжсеткавы экран.

Не переводзьце ўвесь міжсеткавы экран у рэжым Manual дзеля аднаго пула. Гэта рашэнне перапрызначыць абслугоўванне для кожнай унутранай сеткі і кожнай будучай змены WAN.

NAT не выбірае выхад

Маршрутызацыя выбірае інтэрфейс выхаду; правіла зыходнага NAT апісвае толькі тое, як крыніца перапісваецца пасля таго, як пакет пакідае прыладу. Супастаўленне для WAN не прымушае пакет, які маршрутызацыя адправіла ў іншае месца, ісці праз WAN, таму даданне NAT не можа выправіць няправільны маршрут. Праверце таксама прыдатныя запісы NAT 1:1 і выключэнні, бо парадак мае значэнне, і новы радок не абавязкова перамагае. І старонка зыходнага NAT — гэта не старонка фільтра.

Перакладзеная крыніца — гэта не дазвол дасягаць любога пункту прызначэння. Кліентам па-ранейшаму патрэбны маршрут праз тунэль і правіла міжсеткавага экрана, якое прапускае іх трафік, а выбранаму выхаду патрэбны працоўны зваротны шлях. Трымайце доступ толькі да LAN асобна ад дазволу на выхад у інтэрнэт.

Дакажыце пераўтварэнне на новым злучэнні

Пасля зацверджанай змены праверце на новым дазволеным злучэнні, а не праз паўторнае выкарыстанне існуючага, бо ўсталяваныя станы захоўваюць сваю ранейшую трансляцыю. Пацвердзіце адрас крыніцы, які фактычна пакідае WAN, і што адказ вяртаецца праз той жа стан. Не ачышчайце ўсю табліцу станаў як першы крок; гэта хавае, якое правіла змяніла вынік. Запішыце рэжым, правіла, пул і выхад у заяўку на змену.

Гэты прыклад ахоплівае толькі выхад IPv4. Ён нічога не кажа пра пераклад IPv6 або палітыку фільтравання, і праект, якому яна патрэбна, павінен указаць гэта асобна. Гатовы запіс пералічвае дазволены кліенцкі трафік, інтэрфейс, які яго нясе, і прычыну, па якой крыніцу наогул трэба перапісваць.