pfSense odlazni NAT: prvo pročitajte generisana pravila

Otvorite Firewall, zatim NAT, zatim Outbound i pročitajte režim prije nego što bilo šta dodate. U režimu Automatic pfSense generiše pravila za WAN interfejse i, među njima, za VPN mreže daljinskog pristupa, pa je bazen koji namjeravate dodati često već pokriven. Ručno napisan red koji nedostaje nije dokaz da prijevod nedostaje. Redoslijed ispod vas čuva da cijeli firewall ne prebacite na Manual zbog jednog bazena.

Režim određuje ko održava prijevod za svaku drugu mrežu na uređaju, što je veća odluka od jednog VPN izuzetka.

Režim Automatic već pokriva VPN bazen

Svaki režim ima svog vlasnika. Automatic generiše pravila za WAN interfejse i uključuje VPN mreže daljinskog pristupa među svoje izvore. Hybrid zadržava ta generisana pravila i dopušta vam da pored njih dodate ručna. Manual prestaje bilo šta generisati, pa svaki prijevod na firewallu postaje vaša odgovornost, uključujući one koje niste napisali. Četvrta postavka potpuno isključuje odlazni NAT. Red koji izgleda ručno napisan ne dokazuje ništa dok ne saznate koji je režim aktivan.

U režimima Automatic i Hybrid stranica prikazuje i generisana pravila. Pročitajte ih prije nego zaključite da VPN bazen nema prijevod: potražite mrežu bazena u koloni izvora i WAN interfejs u koloni interfejsa.

Odaberite Hybrid samo za pregledan izuzetak

Dokumentovan izuzetak je i dalje moguć kada se izlazna politika zaista razlikuje. Zamislite server koji dijeli 10.90.0.0/24, gdje firewall treba osigurati IPv4 internet izlaz, a rutiranje već bira WAN. Očekivana transformacija je da se izvor 10.90.0.23 prepiše na WAN adresu. Provjerite da li to generisano pravilo već čini na tom izlazu; ako ne, Hybrid zadržava automatsku pokrivenost i dodaje vaše pregledano pravilo.

Koristite stvarni VPN bazen kao izvor, ili podržani alias za njega, i nikada ne birajte nepovezanu adresu samo zato što ime instance OpenVPN nedostaje u izborniku. Izbjegavajte izvor any, koji takođe prevodi saobraćaj koji sam firewall stvara.

Ne prebacujte cijeli firewall na Manual zbog jednog bazena. Ta odluka preraspodjeljuje održavanje za svaku internu mrežu i svaku buduću WAN promjenu.

NAT ne bira izlaz

Rutiranje bira izlazni interfejs; pravilo odlaznog NAT-a samo opisuje kako se izvor prepisuje nakon što paket napusti uređaj. Mapiranje za WAN ne prisiljava paket koji je rutiranje poslalo drugdje da ide preko WAN-a, zato dodavanje NAT-a ne može popraviti pogrešnu rutu. Provjerite i primjenjive 1:1 NAT unose i izuzetke, jer redoslijed je važan i novi red ne pobjeđuje nužno. A stranica odlaznog NAT-a nije stranica filtera.

Prevedeni izvor nije dozvola za dosezanje svakog odredišta. Klijentima i dalje treba ruta kroz tunel i firewall pravilo koje propušta njihov saobraćaj, a odabranom izlazu treba radna povratna putanja. Držite pristup samo LAN-u odvojeno od dozvole za internet izlaz.

Dokažite transformaciju na novoj konekciji

Nakon odobrene promjene testirajte novom autorizovanom konekcijom umjesto ponovne upotrebe postojeće, jer uspostavljena stanja zadržavaju raniji prijevod. Potvrdite adresu izvora koja zaista napušta WAN i da se odgovor vraća kroz isto stanje. Ne ispraznite cijelu tablicu stanja kao prvi potez; to skriva koje je pravilo promijenilo ishod. Zabilježite režim, pravilo, bazen i izlaz u tiketu promjene.

Ovaj primjer pokriva samo IPv4 izlaz. Ne govori ništa o IPv6 prijevodu ili politici filtriranja, a dizajn koji to treba mora to navesti odvojeno. Završeni zapis navodi dopušteni klijentski saobraćaj, interfejs koji ga nosi i razlog zašto se izvor uopšte mora prepisati.