Mae angen un argraffydd ar ddefnyddiwr VPN, nid y LAN gyfan

Mae’r rheol yn edrych yn iawn ac mae’r argraffydd yn dal i wrthod. Neu mae’r argraffydd yn gweithio a gall yr un defnyddiwr gyrraedd y gweinydd ffeiliau hefyd, sy’n waeth. Daw’r ddau ganlyniad fel arfer o’r un man: ychwanegwyd y rheol gul at set o reolau a oedd eisoes yn caniatáu rhywbeth ehangach. Mae darllen y drefn effeithiol yn esbonio’r canlyniad cyn i unrhyw reol newydd gael ei hysgrifennu.

Y symptom: ni newidiodd y rheol gul ddim

Pwll VPN pwrpasol, un cyfeiriad argraffydd a rheol pas ar TCP 631 yw dyluniad rhesymol. Pan nad yw’n cynhyrchu unrhyw newid o gwbl, y drwgdybiaeth gyntaf ddylai fod na chyrhaeddodd y traffig y rheol honno erioed. Dim ond dros draffig sy’n cyrraedd ei safle yn y drefn werthuso y mae rheol yn penderfynu. Mae’r meysydd yn hawdd eu gwirio ac yn anaml yn achos y methiant.

Mae’r symptom gwrthgyferbyniol yn haws ei golli. Mae’r swydd argraffu yn llwyddo, ac felly hefyd cysylltiad â rhannu ffeiliau na ddylai’r defnyddiwr hwn gyrraedd. Mae hynny’n golygu bod rhywbeth cynharach eisoes wedi caniatáu’r LAN.

Mae’r ddau symptom yn pwyntio at y drefn yn hytrach nag at feysydd y rheol newydd. Un ohonynt yw rheol na chydweddodd erioed, a’r llall yw rheol a gydweddodd yn rhy gynnar.

Pa set o reolau y mae’r traffig yn ei tharo mewn gwirionedd

Mae pfSense yn gwerthuso rheolau fesul rhyngwyneb, ac mae gan OpenVPN ei dab ei hun y mae ei reolau yn berthnasol i bob gweinydd a phob achos cleient. Mae’r rheolau hynny’n cael eu prosesu cyn y rheolau a neilltuwyd i ryngwyneb OpenVPN penodol. Felly mae pas eang a adawyd ar dab OpenVPN hefyd yn berthnasol i’r defnyddiwr hwn, beth bynnag a ddywed tab y rhyngwyneb. Copïwch y drefn honno i’r cofnod newid fel y gall yr adolygiad ei gwirio heb agor y GUI.

Dyna pam na all pas cul newydd dynnu mynediad ymaith. Mae rheolau’r mur tân yn ychwanegu caniatâd, ac nid ydynt yn ei dynnu oddi ar gydweddiad cynharach.

Darllenwch y rhestr effeithiol o’r brig a stopiwch ar y rheol gyntaf sy’n cyd-fynd â’r traffig. Y gydweddiad gyntaf honno yw’r penderfyniad, ac mae popeth oddi tani yn anghyrraeddadwy i’r llif hwnnw.

Ysgrifennwch y rheol pas o’r swydd argraffu

Dechreuwch o’r swydd yn hytrach nag o’r argraffydd. Mae’r defnyddiwr angen y gwasanaeth argraffu ar gyfeiriad yr argraffydd, felly mae’r rheol yn enwi’r cyfeiriad hwnnw, y protocol hwnnw a’r porth hwnnw. Mae alias ar gyfer pwll VPN ac alias ar gyfer yr argraffydd yn cadw’r rheol yn ddarllenadwy.

Gwrthwynebwch ychwanegu porthladdoedd darganfod neu weinyddu i wneud dewin yn hapusach. Mae rheol sy’n derbyn yr argraffydd cyfan yn bolisi gwahanol i un sy’n derbyn ciw argraffu.

Cadwch ddilysu’r argraffydd ei hun yn ei le. Nid yw caniatâd rhwydwaith yn ddisodliad ohono. Cyfrif ar lefel ciw yw’r rheolaeth gywir ar bwy all argraffu beth.

Mae chwe gwerth yn cario’r bwriad cyfan: pas fel y weithred, IPv4 fel y teulu, TCP fel y protocol, alias y pwll fel y ffynhonnell, alias yr argraffydd fel y cyrchfan, a 631 fel y porth. Mae unrhyw beth y tu hwnt i’r chwe hynny yn bolisi gwahanol i’r un a ofynnwyd amdano.

Rhowch lwybr i’r cleient heb ganiatâd LAN

Mae’r cleient angen llwybr i gyfeiriad yr argraffydd, ac mae ochr y swyddfa angen llwybr ateb i bwll VPN. Mae gwthio un /32 yn cadw cyfluniad y cleient yn gul, sy’n helpu datgeliad problemau. Nid dyma’r ffin awdurdodi, oherwydd gall cleient ychwanegu llwybrau ei hun.

Os cyfeirir at y ciw wrth enw, diffiniwch y ddibyniaeth ar y datryswr ar wahân. Mae caniatáu’r LAN gyfan fel y datryswyd un enw yn newid llawer mwy nag y mae’r swydd yn ei olygu.

Dewiswch yn fwriadol rhwng llwybro yn ôl i’r pwll a chyfieithu’r ffynhonnell. Mae’r ddau yn gweithio, ac mae pob un yn cuddio rhywbeth gwahanol rhag y cofnodion.

Profwch y gwadiad yn ogystal â’r swydd

Cyflwynwch un swydd fach, ansensitif gan ddefnyddiwr VPN, yna rhowch gynnig ar adnodd LAN y dylid ei wrthod a thudalen weinyddu’r mur tân ei hun. Mae’r tri phrawf yn perthyn i’r un sesiwn, oherwydd dyna’r unig ffordd i weld y polisi yn ei gyfanrwydd. Nid yw swydd argraffu lwyddiannus ar ei phen ei hun yn profi fawr ddim am y ffin.

Adolygwch IPv6 ac unrhyw lwybr VPN arall sy’n actif cyn galw’r defnydd yn un argraffydd yn unig. Gall set o reolau sy’n gul yn un teulu cyfeiriadau fod yn gwbl agored yn y llall.