Korisniku VPN-a treba jedan štampač, a ne cijela LAN mreža

Pravilo izgleda ispravno, a štampač i dalje odbija. Ili štampač radi, a isti korisnik može doći i do datotečnog servera, što je gore. Oba ishoda obično dolaze s istog mjesta: usko pravilo dodano je skupu pravila koji je već dopuštao nešto šire. Čitanje stvarnog redoslijeda objašnjava rezultat prije nego što se napiše novo pravilo.

Simptom: usko pravilo nije promijenilo ništa

Namjenski VPN bazen, jedna adresa štampača i pravilo propuštanja na TCP 631 razuman je dizajn. Kada ne daje nikakvu promjenu, prva sumnja treba biti da promet nikada nije stigao do tog pravila. Pravilo odlučuje samo za promet koji stigne na njegovu poziciju u redu evaluacije. Polja je lako provjeriti i rijetko su razlog neuspjeha.

Suprotni simptom lakše je previdjeti. Zadatak ispisa uspijeva, a tako i veza prema dijeljenom resursu do kojeg korisnik nije trebao imati pristup. To znači da je nešto ranije već dopustilo LAN.

Oba simptoma upućuju na redoslijed, a ne na polja novog pravila. Jedan od njih je pravilo koje se nikada nije poklopilo, a drugi je pravilo koje se poklopilo prerano.

Koji skup pravila promet zapravo pogađa

pfSense evaluira pravila po interfejsu, a OpenVPN ima vlastitu karticu čija pravila vrijede za svaku instancu servera i klijenta. Ta se pravila obrađuju prije pravila dodijeljenih određenom OpenVPN interfejsu. Zato široko propuštanje ostavljeno na kartici OpenVPN vrijedi i za ovog korisnika, što god govorila kartica interfejsa. Kopirajte taj redoslijed u zapis o promjeni kako bi ga pregled mogao provjeriti bez otvaranja GUI-ja.

Zato novo usko propuštanje ne može oduzeti pristup. Pravila vatrozida dodaju dopuštenje i ne oduzimaju ga ranijem poklapanju.

Čitajte stvarni popis odozgo i zaustavite se na prvom pravilu koje odgovara prometu. To prvo poklapanje je odluka, a sve ispod njega nedostupno je za taj tok.

Napišite pravilo propuštanja iz zadatka ispisa

Krenite od zadatka, a ne od štampača. Korisniku treba usluga ispisa na adresi štampača, pa pravilo imenuje tu adresu, taj protokol i taj port. Alias za VPN bazen i alias za štampač drže pravilo čitljivim.

Oduprite se dodavanju portova za otkrivanje ili administraciju da biste ugodili čarobnjaku. Pravilo koje propušta cijeli štampač drukčija je politika od onoga koje propušta red ispisa.

Zadržite vlastitu autentifikaciju štampača. Mrežno dopuštenje nije njezina zamjena. Račun na razini reda ispisa prava je kontrola nad tim ko što može ispisati.

Šest vrijednosti nosi cijelu namjeru: propuštanje kao radnja, IPv4 kao obitelj, TCP kao protokol, alias bazena kao izvor, alias štampača kao odredište i 631 kao port. Sve izvan tih šest drukčija je politika od tražene.

Dajte klijentu put bez dopuštenja za LAN

Klijentu treba ruta do adrese štampača, a uredskoj strani povratni put do VPN bazena. Slanje jednog /32 drži konfiguraciju klijenta uskom, što pomaže pri rješavanju problema. To nije granica autorizacije, jer klijent može sam dodati rute.

Ako se redu pristupa po imenu, zasebno definirajte ovisnost o razrješivaču. Dopuštanje cijele LAN mreže da bi se razriješilo jedno ime mnogo je veća promjena nego što zadatak traži.

Svjesno birajte između usmjeravanja natrag u bazen i prevođenja izvora. Oboje radi, a svako od njih skriva nešto drugo od zapisa.

Testirajte i odbijanje, kao i zadatak

Pošaljite jedan mali, neosjetljiv zadatak s korisnika VPN-a, zatim pokušajte LAN resurs koji bi trebao biti odbijen i vlastitu administrativnu stranicu vatrozida. Sva tri testa pripadaju istoj sesiji, jer je to jedini način da se politika vidi kao cjelina. Sam uspješan zadatak ispisa ne dokazuje gotovo ništa o granici.

Pregledajte IPv6 i svaki drugi aktivni VPN put prije nego što implementaciju nazovete samo za štampač. Skup pravila koji je uzak u jednoj obitelji adresa može biti posve otvoren u drugoj.