pfSense ausgehendes NAT: Lesen Sie zuerst die generierten Regeln

Öffnen Sie Firewall, dann NAT, dann Outbound, und lesen Sie den Modus, bevor Sie etwas hinzufügen. Im Modus Automatic erzeugt pfSense Regeln für die WAN-Schnittstellen und darunter für Fernzugriffs-VPN-Netze, sodass der Pool, den Sie hinzufügen wollen, oft bereits abgedeckt ist. Eine fehlende handgeschriebene Zeile ist kein Beweis dafür, dass die Übersetzung fehlt. Die Reihenfolge unten bewahrt Sie davor, die ganze Firewall auf Manual umzustellen, um einen einzigen Pool zu lösen.

Der Modus entscheidet, wer die Übersetzung für jedes andere Netz auf der Box pflegt, und das ist eine größere Entscheidung als eine VPN-Ausnahme.

Der Modus Automatic deckt den VPN-Pool bereits ab

Jeder Modus hat einen eigenen Verantwortlichen. Automatic erzeugt Regeln für die WAN-Schnittstellen und zählt Fernzugriffs-VPN-Netze zu seinen Quellen. Hybrid behält diese generierten Regeln und lässt Sie manuelle daneben hinzufügen. Manual erzeugt nichts mehr, sodass jede Übersetzung auf der Firewall Ihre Verantwortung wird, auch die, die Sie nicht geschrieben haben. Eine vierte Einstellung deaktiviert ausgehendes NAT vollständig. Eine Zeile, die handgeschrieben aussieht, beweist nichts, solange Sie nicht wissen, welcher Modus aktiv ist.

In Automatic und Hybrid zeigt die Seite auch die generierten Regeln an. Lesen Sie sie, bevor Sie schließen, dass ein VPN-Pool keine Übersetzung hat: Suchen Sie das Netz des Pools in der Quellspalte und die WAN-Schnittstelle in der Schnittstellenspalte.

Wählen Sie Hybrid nur für eine geprüfte Ausnahme

Eine dokumentierte Ausnahme ist weiterhin möglich, wenn die Egress-Richtlinie tatsächlich abweicht. Stellen Sie sich einen Server vor, der 10.90.0.0/24 verteilt, bei dem die Firewall IPv4-Internetzugang bereitstellen soll und das Routing bereits WAN wählt. Die erwartete Umwandlung ist, dass die Quelle 10.90.0.23 auf die WAN-Adresse umgeschrieben wird. Prüfen Sie, ob eine generierte Regel das an diesem Ausgang bereits tut; wenn nicht, bewahrt Hybrid die automatische Abdeckung und fügt Ihre geprüfte Regel hinzu.

Verwenden Sie den tatsächlichen VPN-Pool als Quelle oder einen unterstützten Alias dafür, und wählen Sie niemals eine unzusammenhängende Adresse, nur weil der Name der OpenVPN-Instanz in einem Auswahlfeld fehlt. Vermeiden Sie eine Quelle any, die auch Verkehr übersetzt, den die Firewall selbst erzeugt.

Stellen Sie nicht die ganze Firewall wegen eines Pools auf Manual um. Diese Entscheidung ordnet die Pflege für jedes interne Netz und jede künftige WAN-Änderung neu zu.

NAT wählt den Ausgang nicht

Das Routing wählt die Ausgangsschnittstelle; eine ausgehende NAT-Regel beschreibt nur, wie die Quelle umgeschrieben wird, sobald ein Paket das System verlässt. Eine Zuordnung für WAN zwingt ein Paket, das das Routing woandershin geschickt hat, nicht auf WAN, weshalb das Hinzufügen von NAT eine falsche Route nicht reparieren kann. Prüfen Sie auch zutreffende 1:1-NAT-Einträge und Ausnahmen, denn die Reihenfolge zählt und eine neue Zeile gewinnt nicht zwangsläufig. Und die Ausgangsseite ist nicht die Filterseite.

Eine übersetzte Quelle ist keine Erlaubnis, jedes Ziel zu erreichen. Clients brauchen weiterhin eine Route durch den Tunnel und eine Firewallregel, die ihren Verkehr zulässt, und der gewählte Ausgang braucht einen funktionierenden Rückweg. Halten Sie reinen LAN-Zugang getrennt von der Erlaubnis zum Internetzugang.

Beweisen Sie die Umwandlung auf einer neuen Verbindung

Testen Sie nach einer genehmigten Änderung mit einer neuen autorisierten Verbindung, statt eine bestehende weiterzuverwenden, denn etablierte Zustände behalten ihre frühere Umwandlung. Bestätigen Sie die Quelladresse, die WAN tatsächlich verlässt, und dass die Antwort über denselben Zustand zurückkommt. Leeren Sie nicht die ganze Zustandstabelle als ersten Schritt; das verbirgt, welche Regel das Ergebnis geändert hat. Halten Sie Modus, Regel, Pool und Ausgang im Änderungsticket fest.

Dieses Beispiel deckt nur IPv4-Ausgang ab. Es sagt nichts über eine IPv6-Umwandlung oder Filterrichtlinie aus, und ein Entwurf, der eine braucht, muss sie gesondert angeben. Der fertige Eintrag listet den erlaubten Client-Verkehr, die Schnittstelle, die ihn trägt, und den Grund, warum die Quelle überhaupt umgeschrieben werden muss.