Карыстальніку VPN патрэбны адзін прынтар, а не ўся лакальная сетка

Правіла выглядае правільным, а прынтар усё адмаўляе. Або прынтар працуе, і той жа карыстальнік можа дабрацца і да файлавага сервера, што горш. Абодва вынікі звычайна маюць адно месца: вузкае правіла дадалі да набору правілаў, які ўжо даваў нешта шырэйшае. Чытанне фактычнага парадку тлумачыць вынік да таго, як будзе напісана новае правіла.

Сімптом: вузкае правіла нічога не змяніла

Выдзелены пул VPN, адзін адрас прынтара і правіла пропуску на TCP 631 — разумная распрацоўка. Калі яно не дае ніякіх змен, першае падазрэнне павінна быць у тым, што трафік ніколі не даходзіў да гэтага правіла. Правіла вырашае толькі для таго трафіку, які даходзіць да яго пазіцыі ў парадку ацэнкі. Палі лёгка праверыць, і яны рэдка бываюць прычынай няўдачы.

Процілеглы сімптом лягчэй прапусціць. Заданне друку выконваецца, і таксама ўдаецца злучэнне да агульнага файла, да якога гэты карыстальнік не павінен быў мець доступ. Гэта значыць, што нешта ранейшае ўжо дазволіла лакальную сетку.

Абодва сімптомы ўказваюць на парадак, а не на палі новага правіла. Адзін з іх — правіла, якое ніколі не супала, а другі — правіла, якое супала занадта рана.

У які набор правілаў трапляе трафік

pfSense ацэньвае правілы для кожнага інтэрфейса, а ў OpenVPN ёсць уласная ўкладка, правілы якой дзейнічаюць для кожнага сервера і кліента. Гэтыя правілы апрацоўваюцца перад правіламі, прызначанымі канкрэтнаму інтэрфейсу OpenVPN. Таму шырокі пропуск, пакінуты на ўкладцы OpenVPN, дзейнічае і для гэтага карыстальніка, што б ні казала ўкладка інтэрфейса. Скапіруйце гэты парадак у запіс змен, каб праверка магла ўбачыць яго без адкрыцця GUI.

Вось чаму новае вузкае правіла пропуску не можа адабраць доступ. Правілы міжсеткавага экрана дадаюць дазвол і не забіраюць яго ў ранейшага супадзення.

Чытайце фактычны спіс зверху і спыніцеся на першым правіле, якое супадае з трафікам. Гэтае першае супадзенне і ёсць рашэнне, а ўсё ніжэй за яго недасягальнае для гэтага патоку.

Напішыце правіла пропуску ад задання друку

Пачынайце ад задання, а не ад прынтара. Карыстальніку патрэбна служба друку на адрасе прынтара, таму правіла называе гэты адрас, гэты пратакол і гэты порт. Псеўданім для пулу VPN і псеўданім для прынтара робяць правіла чытэльным.

Супраціўляйцеся даданню партоў выяўлення або адміністравання, каб дагадзіць майстру. Правіла, якое дапускае ўвесь прынтар, — іншая палітыка, чым тое, якое дапускае чаргу друку.

Пакіньце ўласную аўтэнтыфікацыю прынтара на месцы. Дазвол сеткі не замяняе яе. Уліковы запіс на ўзроўні чаргі — правільны кантроль таго, хто што можа друкаваць.

Увесь намер нясуць шэсць значэнняў: пропуск як дзеянне, IPv4 як сямейства, TCP як пратакол, псеўданім пулу як крыніца, псеўданім прынтара як прызначэнне і 631 як порт. Усё звыш гэтых шасці — іншая палітыка, чым запытаная.

Дайце кліенту шлях без дазволу лакальнай сеткі

Кліенту патрэбны маршрут да адраса прынтара, а офіснаму боку — зваротны шлях да пулу VPN. Адпраўка аднаго /32 пакідае канфігурацыю кліента вузкай, што дапамагае ў дыягностыцы. Гэта не мяжа аўтарызацыі, бо кліент можа сам дадаць маршруты.

Калі чарга адрасуецца па імені, вызначце залежнасць ад распазнавальніка асобна. Дазвол усёй лакальнай сеткі, каб вырашылася адно імя, — значна большая змена, чым патрабуе заданне.

Свядома выбірайце паміж маршрутызацыяй назад у пул і трансляцыяй крыніцы. Працуе і тое, і другое, і кожнае хавае ў журналах нешта сваё.

Праверце і адмову, і выкананне задання

Адпраўце адно невялікае, неканфідэнцыйнае заданне ад карыстальніка VPN, затым паспрабуйце рэсурс лакальнай сеткі, які павінен быць забаронены, і ўласную старонку адміністравання міжсеткавага экрана. Усе тры тэсты належаць адной сесіі, бо гэта адзіны спосаб убачыць палітыку цалкам. Паспяховае заданне друку само па сабе не даказвае амаль нічога пра мяжу.

Перагледзьце IPv6 і любы іншы актыўны шлях VPN, перш чым назваць разгортванне «толькі для прынтара». Набор правілаў, вузкі ў адным сямействе адрасоў, можа быць цалкам адкрытым у другім.