NAT de sortida a pfSense: llegiu primer les regles generades

Obriu Firewall, després NAT i després Outbound, i llegiu el mode abans d’afegir res. En el mode Automatic, pfSense genera regles per a les interfícies WAN i, entre elles, per a les xarxes VPN d’accés remot, així que el pool que esteu a punt d’afegir sovint ja està cobert. Que falti una fila escrita a mà no és prova que falti la traducció. L’ordre de sota us evita canviar tot el tallafoc a Manual per resoldre un sol pool.

El mode decideix qui manté la traducció per a totes les altres xarxes de l’equip, i això és una decisió més gran que una excepció de VPN.

El mode Automatic ja cobreix el pool de VPN

Cada mode té un propietari diferent. Automatic genera regles per a les interfícies WAN i inclou les xarxes VPN d’accés remot entre les seves fonts. Hybrid conserva aquestes regles generades i us deixa afegir-ne de manuals al costat. Manual deixa de generar res, així que cada traducció del tallafoc passa a ser responsabilitat vostra, incloses les que no vau escriure. Un quart paràmetre desactiva del tot el NAT de sortida. Una fila que sembla escrita a mà no demostra res fins que sabeu quin mode està actiu.

En Automatic i Hybrid, la pàgina també mostra les regles generades. Llegiu-les abans de concloure que un pool de VPN no té traducció: busqueu la xarxa del pool a la columna d’origen i la interfície WAN a la columna d’interfície.

Trieu Hybrid només per a una excepció revisada

Una excepció documentada encara és possible quan la política de sortida difereix de debò. Imagineu un servidor que reparteix 10.90.0.0/24, on el tallafoc ha de proporcionar sortida a internet per IPv4 i l’encaminament ja tria WAN. La transformació esperada és que l’origen 10.90.0.23 es reescrigui a l’adreça WAN. Comproveu si una regla generada ja ho fa en aquesta sortida; si no, Hybrid conserva la cobertura automàtica i hi afegeix la vostra regla revisada.

Feu servir el pool de VPN real com a origen, o un àlies compatible, i no trieu mai una adreça no relacionada només perquè el nom de la instància OpenVPN no apareix al selector. Eviteu un origen any, que també tradueix el trànsit que origina el mateix tallafoc.

No canvieu tot el tallafoc a Manual per un sol pool. Aquesta decisió reassigna el manteniment de cada xarxa interna i de cada canvi futur de WAN.

El NAT no tria la sortida

L’encaminament tria la interfície de sortida; una regla de NAT de sortida només descriu com es reescriu l’origen un cop el paquet surt. Una assignació per a WAN no obliga un paquet que l’encaminament ha enviat a un altre lloc a passar per WAN, i per això afegir NAT no pot reparar una ruta incorrecta. Reviseu també les entrades de NAT 1:1 i les excepcions aplicables, perquè l’ordre importa i una fila nova no guanya necessàriament. I la pàgina de sortida no és la pàgina de filtratge.

Un origen traduït no és permís per arribar a qualsevol destinació. Els clients encara necessiten una ruta pel túnel i una regla de tallafoc que admeti el seu trànsit, i la sortida triada necessita un camí de retorn que funcioni. Manteniu l’accés només a LAN separat del permís de sortida a internet.

Demostreu la transformació en una connexió nova

Després d’un canvi aprovat, proveu amb una connexió autoritzada nova en lloc de reutilitzar una d’existent, perquè els estats establerts conserven la transformació anterior. Confirmeu l’adreça d’origen que surt realment per WAN i que la resposta torna pel mateix estat. No buideu tota la taula d’estats com a primer pas; això amaga quina regla va canviar el resultat. Anoteu el mode, la regla, el pool i la sortida al tiquet de canvi.

Aquest exemple només cobreix la sortida IPv4. No diu res sobre una traducció o política de filtratge IPv6, i un disseny que en necessiti una ho ha d’exposar a part. El registre final llista el trànsit de clients permès, la interfície que el transporta i el motiu pel qual cal reescriure l’origen.