Un usuari de VPN necessita una impressora, no tota la LAN

La regla sembla correcta i la impressora encara refusa. O la impressora funciona i el mateix usuari també arriba al servidor de fitxers, que és pitjor. Tots dos resultats solen venir del mateix lloc: la regla estreta es va afegir a un conjunt de regles que ja permetia una cosa més àmplia. Llegir l’ordre efectiu explica el resultat abans que s’escrigui cap regla nova.

El símptoma: la regla estreta no va canviar res

Un pool de VPN dedicat, una adreça d’impressora i una regla de pas a TCP 631 és un disseny raonable. Quan no produeix cap canvi, la primera sospita hauria de ser que el trànsit no va arribar mai a aquesta regla. Una regla només decideix per al trànsit que arriba a la seva posició en l’ordre d’avaluació. Els camps són fàcils de comprovar i poques vegades són la causa del fracàs.

El símptoma oposat és més fàcil de passar per alt. El treball d’impressió s’executa, i també una connexió a un recurs compartit al qual aquest usuari no havia d’arribar. Això vol dir que alguna cosa anterior ja havia permès la LAN.

Tots dos símptomes apunten a l’ordenació i no als camps de la regla nova. Un és una regla que no va coincidir mai, i l’altre és una regla que va coincidir massa aviat.

A quin conjunt de regles arriba realment el trànsit

pfSense avalua les regles per interfície, i OpenVPN té la seva pròpia pestanya les regles de la qual s’apliquen a cada instància de servidor i client. Aquestes regles es processen abans que les assignades a una interfície OpenVPN concreta. Per tant, un pas ampli deixat a la pestanya d’OpenVPN també s’aplica a aquest usuari, digui el que digui la pestanya de la interfície. Copieu aquesta ordenació al registre del canvi perquè la revisió la pugui comprovar sense obrir la GUI.

Per això un pas estret nou no pot restar accés. Les regles del tallafoc afegeixen permís i no el treuen d’una coincidència anterior.

Llegiu la llista efectiva des de dalt i atureu-vos a la primera regla que coincideixi amb el trànsit. Aquesta primera coincidència és la decisió, i tot el que hi ha a sota és inabastable per a aquest flux.

Escriviu la regla de pas a partir del treball d’impressió

Comenceu pel treball i no per la impressora. L’usuari necessita el servei d’impressió a l’adreça de la impressora, així que la regla nomena aquesta adreça, aquest protocol i aquest port. Un àlies per al pool de VPN i un àlies per a la impressora mantenen la regla llegible.

Resistiu la temptació d’afegir ports de descobriment o d’administració per fer més content un assistent. Una regla que admet tota la impressora és una política diferent d’una que admet una cua d’impressió.

Manteniu l’autenticació pròpia de la impressora. Un permís de xarxa no la substitueix. Un compte a nivell de cua és el control correcte de qui pot imprimir què.

Sis valors porten tota la intenció: pas com a acció, IPv4 com a família, TCP com a protocol, l’àlies del pool com a origen, l’àlies de la impressora com a destinació i 631 com a port. Qualsevol cosa més enllà d’aquests sis és una política diferent de la sol·licitada.

Doneu al client un camí sense permís per a la LAN

El client necessita una ruta a l’adreça de la impressora, i el costat de l’oficina necessita un camí de resposta al pool de VPN. Enviar un sol /32 manté la configuració del client estreta, cosa que ajuda a diagnosticar. No és la frontera d’autorització, perquè un client pot afegir rutes ell mateix.

Si la cua s’adreça pel nom, definiu la dependència del resolutor per separat. Permetre tota la LAN perquè es resolgui un sol nom és un canvi molt més gran del que el treball requereix.

Trieu deliberadament entre encaminar de tornada al pool i traduir l’origen. Totes dues opcions funcionen, i cadascuna amaga una cosa diferent dels registres.

Proveu la denegació i també el treball

Envieu un treball petit i no sensible des de l’usuari de VPN, després proveu un recurs de la LAN que hauria de ser denegat i la mateixa pàgina d’administració del tallafoc. Les tres proves pertanyen a la mateixa sessió, perquè és l’única manera de veure la política en conjunt. Un treball d’impressió correcte tot sol no demostra gairebé res sobre la frontera.

Reviseu IPv6 i qualsevol altre camí VPN actiu abans de qualificar el desplegament de només impressora. Un conjunt de regles estret en una família d’adreces pot estar completament obert en l’altra.