Потребителят на VPN се нуждае от един принтер, а не от цялата локална мрежа

Правилото изглежда правилно, а принтерът продължава да отказва. Или принтерът работи и същият потребител достига и до файловия сървър, което е по-лошо. И двата резултата обикновено идват от едно и също място: тясното правило е добавено към набор от правила, който вече е разрешавал нещо по-широко. Четенето на ефективния ред обяснява резултата, преди да бъде написано ново правило.

Симптомът: тясното правило не промени нищо

Отделен пул за VPN, един адрес на принтер и правило за пропускане на TCP 631 е разумна архитектура. Когато не дава никаква промяна, първото подозрение трябва да е, че трафикът никога не е стигал до това правило. Правилото решава само за трафик, който достига до позицията му в реда за оценка. Полетата се проверяват лесно и рядко са причината за неуспеха.

Обратният симптом се пропуска по-лесно. Задачата за печат успява, а също и връзка към файлов дял, до който този потребител не е трябвало да има достъп. Това означава, че нещо по-рано вече е разрешило локалната мрежа.

И двата симптома сочат към подредбата, а не към полетата на новото правило. Единият е правило, което никога не е съвпаднало, а другият е правило, което е съвпаднало твърде рано.

Кой набор от правила всъщност получава трафика

pfSense оценява правилата по интерфейс, а OpenVPN има собствен раздел, чиито правила важат за всеки сървър и клиентски екземпляр. Тези правила се обработват преди правилата, зададени за конкретен интерфейс на OpenVPN. Затова широко пропускане, оставено в раздела на OpenVPN, важи и за този потребител, каквото и да казва разделът на интерфейса. Копирайте тази подредба в записа за промяната, за да може прегледът да я провери, без да отваря GUI.

Затова ново тясно пропускане не може да отнеме достъп. Правилата на защитната стена добавят разрешение и не го отнемат от по-ранно съвпадение.

Прочетете ефективния списък отгоре и спрете на първото правило, което съвпада с трафика. Това първо съвпадение е решението, а всичко под него е недостъпно за този поток.

Напишете правилото за пропускане от задачата за печат

Започнете от задачата, а не от принтера. Потребителят се нуждае от услугата за печат на адреса на принтера, затова правилото назовава този адрес, този протокол и този порт. Псевдоним за пула VPN и псевдоним за принтера правят правилото четимо.

Устоявайте на добавянето на портове за откриване или администриране, за да зарадвате съветник. Правило, което допуска целия принтер, е различна политика от това, което допуска опашка за печат.

Оставете собствената автентикация на принтера на място. Мрежовото разрешение не я замества. Акаунт на ниво опашка е правилният контрол кой какво може да печата.

Шест стойности носят целия замисъл: пропускане като действие, IPv4 като семейство, TCP като протокол, псевдонимът на пула като източник, псевдонимът на принтера като дестинация и 631 като порт. Всичко извън тези шест е друга политика от поисканата.

Дайте на клиента път без разрешение за локалната мрежа

Клиентът се нуждае от маршрут до адреса на принтера, а офисната страна — от обратен път до пула VPN. Изпращането на един /32 запазва конфигурацията на клиента тясна, което помага при диагностика. Това не е границата на оторизацията, защото клиентът може сам да добавя маршрути.

Ако опашката се адресира по име, дефинирайте зависимостта от резолвера отделно. Разрешаването на цялата локална мрежа, за да се резолвне едно име, е много по-голяма промяна, отколкото изисква задачата.

Избирайте съзнателно между маршрутизиране обратно към пула и транслация на източника. И двете работят и всяко крие различно нещо от журналите.

Тествайте отказа, както и задачата

Изпратете една малка, нечувствителна задача от потребителя на VPN, после опитайте ресурс в локалната мрежа, който трябва да бъде отказан, и собствената страница за администриране на защитната стена. И трите теста принадлежат на една сесия, защото това е единственият начин да видите политиката като цяло. Успешната задача за печат сама по себе си не доказва почти нищо за границата.

Прегледайте IPv6 и всеки друг активен път на VPN, преди да наречете внедряването само за принтер. Набор от правила, тесен в едно семейство адреси, може да е напълно отворен в другото.