pfSense udgående NAT: læs de genererede regler først

Åbn Firewall, derefter NAT og derefter Outbound, og læs tilstanden, før du tilføjer noget. I tilstanden Automatic genererer pfSense regler for WAN-interfaces og blandt dem for fjernadgangs-VPN-netværk, så den pulje, du er ved at tilføje, er ofte allerede dækket. En manglende håndskrevet række er ikke bevis på, at oversættelsen mangler. Rækkefølgen nedenfor forhindrer, at du skifter hele firewallen til Manual for at løse én pulje.

Tilstanden afgør, hvem der vedligeholder oversættelsen for hvert andet netværk på boksen, og det er en større beslutning end én VPN-undtagelse.

Tilstanden Automatic dækker allerede VPN-puljen

Hver tilstand har sin egen ejer. Automatic genererer regler for WAN-interfaces og inkluderer fjernadgangs-VPN-netværk blandt sine kilder. Hybrid beholder disse genererede regler og lader dig tilføje manuelle ved siden af. Manual holder op med at generere noget, så hver oversættelse på firewallen bliver dit ansvar, inklusive dem, du ikke selv har skrevet. En fjerde indstilling deaktiverer udgående NAT helt. En række, der ser håndskrevet ud, beviser intet, før du ved, hvilken tilstand der er aktiv.

I Automatic og Hybrid viser siden også de genererede regler. Læs dem, før du konkluderer, at en VPN-pulje ikke har nogen oversættelse: find puljens netværk i kilden-kolonnen og WAN-interfacet i interface-kolonnen.

Vælg kun Hybrid til en gennemgået undtagelse

En dokumenteret undtagelse er stadig mulig, når udgangspolitikken reelt er anderledes. Forestil dig en server, der uddeler 10.90.0.0/24, hvor firewallen skal levere IPv4-internetudgang, og routing allerede vælger WAN. Den forventede omformning er, at kilden 10.90.0.23 skrives om til WAN-adressen. Kontrollér, om en genereret regel allerede gør det på den udgang; hvis ikke, bevarer Hybrid den automatiske dækning og tilføjer din gennemgåede regel.

Brug den faktiske VPN-pulje som kilde eller et understøttet alias for den, og vælg aldrig en urelateret adresse, blot fordi OpenVPN-instansens navn mangler i en vælger. Undgå en kilde på any, som også oversætter trafik, som firewallen selv skaber.

Flyt ikke hele firewallen til Manual for én pulje. Den beslutning omfordeler vedligeholdelsen for hvert internt netværk og hver fremtidig WAN-ændring.

NAT vælger ikke udgangen

Routing vælger udgangsinterfacet; en udgående NAT-regel beskriver kun, hvordan kilden skrives om, når en pakke forlader systemet. En mapping til WAN tvinger ikke en pakke, som routing har sendt andre steder hen, over på WAN, og derfor kan tilføjelse af NAT ikke reparere en forkert rute. Undersøg også relevante 1:1 NAT-poster og undtagelser, da rækkefølgen betyder noget, og en ny række ikke nødvendigvis vinder. Og udgående-siden er ikke filter-siden.

En oversat kilde er ikke tilladelse til at nå enhver destination. Klienter skal stadig have en rute gennem tunnelen og en firewallregel, der tillader deres trafik, og den valgte udgang skal have en fungerende returvej. Hold LAN-only adgang adskilt fra tilladelse til internetudgang.

Bevis omformningen på en ny forbindelse

Efter en godkendt ændring, test med en ny autoriseret forbindelse i stedet for at genbruge en eksisterende, fordi etablerede tilstande beholder deres tidligere omformning. Bekræft kildeadressen, der faktisk forlader WAN, og at svaret vender tilbage gennem samme tilstand. Tøm ikke hele tilstandstabellen som første skridt; det skjuler, hvilken regel der ændrede resultatet. Notér tilstanden, reglen, puljen og udgangen i ændringsbilletten.

Dette eksempel dækker kun IPv4-udgang. Det siger intet om en IPv6-omformning eller filtreringspolitik, og et design, der har brug for en, må angive det særskilt. Den færdige registrering lister den tilladte klienttrafik, det interface der bærer den, og grunden til, at kilden overhovedet skal skrives om.