Uživatel VPN potřebuje jednu tiskárnu, ne celou LAN

Pravidlo vypadá správně a tiskárna přesto odmítá. Nebo tiskárna funguje a stejný uživatel se dostane i na souborový server, což je horší. Oba výsledky obvykle pocházejí ze stejného místa: úzké pravidlo bylo přidáno do sady pravidel, která už povolovala něco širšího. Přečtení efektivního pořadí vysvětlí výsledek dřív, než se napíše jakékoli nové pravidlo.

Příznak: úzké pravidlo nic nezměnilo

Vyhrazený pool VPN, jedna adresa tiskárny a pravidlo povolení na TCP 631 je rozumný návrh. Když nepřinese vůbec žádnou změnu, prvním podezřením by mělo být, že provoz na toto pravidlo nikdy nedorazil. Pravidlo rozhoduje jen o provozu, který dorazí na jeho pozici v pořadí vyhodnocování. Pole se snadno kontrolují a jen zřídka bývají příčinou selhání.

Opačný příznak se přehlédne snadněji. Tisková úloha uspěje a uspěje i připojení ke sdílenému souboru, kam se tento uživatel dostat neměl. To znamená, že něco dřívějšího už LAN povolilo.

Oba příznaky ukazují na pořadí, ne na pole nového pravidla. Jeden z nich je pravidlo, které nikdy neodpovídalo, a druhý je pravidlo, které odpovědělo příliš brzy.

Která sada pravidel provoz skutečně zasáhne

pfSense vyhodnocuje pravidla pro každé rozhraní a OpenVPN má vlastní kartu, jejíž pravidla platí pro každý server a každou klientskou instanci. Tato pravidla se zpracují dřív než pravidla přiřazená konkrétnímu rozhraní OpenVPN. Široké povolení ponechané na kartě OpenVPN tedy platí i pro tohoto uživatele, ať karta rozhraní říká cokoli. Zkopírujte toto pořadí do záznamu o změně, aby ho revize mohla zkontrolovat bez otevírání GUI.

Proto nové úzké povolení nemůže odebrat přístup. Pravidla firewallu přidávají oprávnění a neberou ho dřívější shodě.

Čtěte efektivní seznam shora a zastavte se u prvního pravidla, které provozu odpovídá. Tato první shoda je rozhodnutím a vše pod ní je pro daný tok nedostupné.

Napište pravidlo povolení z tiskové úlohy

Začněte u úlohy, ne u tiskárny. Uživatel potřebuje tiskovou službu na adrese tiskárny, takže pravidlo pojmenuje tuto adresu, tento protokol a tento port. Alias pro pool VPN a alias pro tiskárnu udrží pravidlo čitelné.

Odolejte přidávání portů pro zjišťování nebo správu, aby byl průvodce spokojenější. Pravidlo, které propustí celou tiskárnu, je jiná politika než to, které propustí tiskovou frontu.

Ponechte vlastní autentizaci tiskárny. Síťové povolení ji nenahrazuje. Účet na úrovni fronty je správná kontrola nad tím, kdo co smí tisknout.

Celý záměr nesou šest hodnot: povolení jako akce, IPv4 jako rodina, TCP jako protokol, alias poolu jako zdroj, alias tiskárny jako cíl a 631 jako port. Cokoli nad rámec těchto šesti je jiná politika než požadovaná.

Dejte klientovi cestu bez povolení LAN

Klient potřebuje trasu k adrese tiskárny a kancelářská strana zpětnou cestu k poolu VPN. Zaslání jediné /32 udrží konfiguraci klienta úzkou, což pomáhá při diagnostice. Není to hranice autorizace, protože klient si může trasy přidat sám.

Pokud je fronta adresována jménem, definujte závislost na resolveru zvlášť. Povolit celou LAN, aby se přeložilo jedno jméno, je mnohem větší změna, než úloha vyžaduje.

Vědomě volte mezi směrováním zpět do poolu a překladem zdroje. Obě fungují a každé skrývá v záznamech něco jiného.

Otestujte odmítnutí i úlohu

Odešlete jednu malou, necitlivou úlohu od uživatele VPN, potom zkuste prostředek v LAN, který má být odmítnut, a vlastní administrační stránku firewallu. Všechny tři testy patří do stejné relace, protože jen tak uvidíte politiku jako celek. Samotná úspěšná tisková úloha o hranici téměř nic nedokazuje.

Předtím než nasazení nazvete jen pro tiskárnu, zkontrolujte IPv6 a každou další aktivní cestu VPN. Sada pravidel úzká v jedné rodině adres může být v druhé zcela otevřená.