Odchozí NAT v pfSense: nejprve si přečtěte vygenerovaná pravidla

Otevřete Firewall, potom NAT a potom Outbound a přečtěte si režim, než cokoli přidáte. V režimu Automatic pfSense generuje pravidla pro rozhraní WAN a mezi nimi i pro sítě VPN vzdáleného přístupu, takže pool, který se chystáte přidat, je často už pokrytý. Chybějící ručně psaný řádek není důkaz, že chybí překlad. Pořadí níže vám zabrání přepnout celý firewall do režimu Manual kvůli jednomu poolu.

Režim určuje, kdo udržuje překlad pro každou další síť na zařízení, což je větší rozhodnutí než jedna výjimka pro VPN.

Režim Automatic už pool VPN pokrývá

Každý režim má jiného vlastníka. Automatic generuje pravidla pro rozhraní WAN a mezi své zdroje zahrnuje sítě VPN vzdáleného přístupu. Hybrid tato vygenerovaná pravidla zachovává a umožňuje vedle nich přidávat ruční. Manual přestane cokoli generovat, takže každý překlad na firewallu se stane vaší odpovědností, včetně těch, které jste nenapsali. Čtvrté nastavení odchozí NAT úplně vypne. Řádek, který vypadá ručně psaný, nic nedokazuje, dokud nevíte, který režim je aktivní.

V režimech Automatic a Hybrid stránka zobrazuje i vygenerovaná pravidla. Přečtěte si je, než usoudíte, že pool VPN nemá překlad: hledejte síť poolu ve sloupci zdroje a rozhraní WAN ve sloupci rozhraní.

Hybrid volte jen pro zkontrolovanou výjimku

Dokumentovaná výjimka je stále možná, když se výstupní politika skutečně liší. Představte si server, který vydává 10.90.0.0/24, kde má firewall poskytovat výstup do internetu přes IPv4 a směrování už vybírá WAN. Očekávaná transformace je, že se zdroj 10.90.0.23 přepíše na adresu WAN. Ověřte, zda to už na tomto výstupu nějaké vygenerované pravidlo nedělá; pokud ne, Hybrid zachová automatické pokrytí a přidá vaše zkontrolované pravidlo.

Jako zdroj použijte skutečný pool VPN nebo pro něj podporovaný alias a nikdy nevybírejte nesouvisející adresu jen proto, že v nabídce chybí název instance OpenVPN. Vyhněte se zdroji any, který překládá i provoz, jenž firewall sám vytváří.

Nepřepínejte celý firewall do režimu Manual kvůli jednomu poolu. Takové rozhodnutí přeřadí údržbu pro každou interní síť a každou budoucí změnu WAN.

NAT nevybírá výstup

Směrování vybírá výstupní rozhraní; pravidlo odchozího NAT jen popisuje, jak se zdroj přepíše poté, co paket opustí zařízení. Mapování pro WAN nedonutí paket, který směrování poslalo jinam, aby šel přes WAN, a proto přidání NAT nemůže opravit špatnou trasu. Zkontrolujte také platné položky NAT 1:1 a výjimky, protože pořadí je důležité a nový řádek nemusí vyhrát. A stránka odchozího NAT není stránka filtrování.

Přeložený zdroj není oprávnění dosáhnout jakéhokoli cíle. Klienti stále potřebují trasu tunelem a pravidlo firewallu, které jejich provoz propustí, a zvolený výstup potřebuje funkční zpáteční cestu. Držte přístup pouze do LAN odděleně od oprávnění k výstupu do internetu.

Dokažte transformaci na novém spojení

Po schválené změně testujte novým autorizovaným spojením, místo abyste znovu použili existující, protože navázané stavy si drží dřívější překlad. Potvrďte zdrojovou adresu, která skutečně opouští WAN, a že odpověď se vrací stejným stavem. Nevymazávejte celou tabulku stavů jako první krok; to skryje, které pravidlo změnilo výsledek. Zapište režim, pravidlo, pool a výstup do tiketu změny.

Tento příklad pokrývá jen výstup IPv4. Nic neříká o překladu ani politice filtrování IPv6 a návrh, který ji potřebuje, to musí uvést zvlášť. Hotový záznam uvádí povolený klientský provoz, rozhraní, které jej nese, a důvod, proč je vůbec nutné zdroj přepisovat.