Ein VPN-Nutzer braucht einen Drucker, nicht das ganze LAN

Die Regel sieht richtig aus, und der Drucker verweigert trotzdem. Oder der Drucker funktioniert, und derselbe Nutzer erreicht auch den Fileserver, was schlimmer ist. Beide Ergebnisse kommen meist von derselben Stelle: Die schmale Regel wurde einem Regelsatz hinzugefügt, der bereits etwas Breiteres erlaubte. Das Lesen der effektiven Reihenfolge erklärt das Ergebnis, bevor eine neue Regel geschrieben wird.

Das Symptom: die schmale Regel änderte nichts

Ein dedizierter VPN-Pool, eine Druckeradresse und eine Allow-Regel auf TCP 631 sind ein vernünftiges Design. Wenn es überhaupt keine Änderung bewirkt, sollte der erste Verdacht sein, dass der Verkehr diese Regel nie erreicht hat. Eine Regel entscheidet nur für Verkehr, der an ihrer Position in der Auswertungsreihenfolge ankommt. Die Felder sind leicht zu prüfen und selten der Grund für das Scheitern.

Das gegenteilige Symptom wird leichter übersehen. Der Druckauftrag gelingt, und ebenso eine Verbindung zu einer Dateifreigabe, die dieser Nutzer nie erreichen sollte. Das bedeutet, etwas Früheres hat das LAN bereits erlaubt.

Beide Symptome deuten auf die Reihenfolge und nicht auf die Felder der neuen Regel. Eines ist eine Regel, die nie passte, und das andere eine Regel, die zu früh passte.

Welchen Regelsatz der Verkehr tatsächlich trifft

pfSense wertet Regeln pro Schnittstelle aus, und OpenVPN hat einen eigenen Reiter, dessen Regeln für jede Server- und Client-Instanz gelten. Diese Regeln werden vor den Regeln verarbeitet, die einer bestimmten OpenVPN-Schnittstelle zugewiesen sind. Ein breites Allow, das im OpenVPN-Reiter bleibt, gilt daher auch für diesen Nutzer, egal was der Schnittstellen-Reiter sagt. Kopieren Sie diese Reihenfolge in den Änderungseintrag, damit die Prüfung sie ohne Öffnen der GUI kontrollieren kann.

Deshalb kann ein neues schmales Allow keinen Zugriff abziehen. Firewall-Regeln fügen Erlaubnis hinzu und nehmen sie einem früheren Treffer nicht weg.

Lesen Sie die effektive Liste von oben und halten Sie bei der ersten Regel an, die auf den Verkehr passt. Dieser erste Treffer ist die Entscheidung, und alles darunter ist für diesen Fluss unerreichbar.

Schreiben Sie die Allow-Regel vom Druckauftrag aus

Beginnen Sie beim Auftrag und nicht beim Drucker. Der Nutzer braucht den Druckdienst auf der Druckeradresse, also nennt die Regel diese Adresse, dieses Protokoll und diesen Port. Ein Alias für den VPN-Pool und ein Alias für den Drucker halten die Regel lesbar.

Widerstehen Sie dem Zusatz von Erkennungs- oder Verwaltungsports, um einen Assistenten zufriedener zu machen. Eine Regel, die den ganzen Drucker zulässt, ist eine andere Politik als eine, die eine Druckwarteschlange zulässt.

Lassen Sie die eigene Authentifizierung des Druckers bestehen. Eine Netzwerkerlaubnis ersetzt sie nicht. Ein Konto auf Warteschlangenebene ist die richtige Kontrolle darüber, wer was drucken darf.

Sechs Werte tragen die ganze Absicht: Allow als Aktion, IPv4 als Familie, TCP als Protokoll, der Pool-Alias als Quelle, der Drucker-Alias als Ziel und 631 als Port. Alles darüber hinaus ist eine andere Politik als die angeforderte.

Geben Sie dem Client einen Weg ohne LAN-Erlaubnis

Der Client braucht eine Route zur Druckeradresse, und die Büroseite braucht einen Antwortweg zum VPN-Pool. Eine einzelne /32 zu pushen hält die Client-Konfiguration schmal, was die Fehlersuche erleichtert. Sie ist nicht die Autorisierungsgrenze, denn ein Client kann selbst Routen hinzufügen.

Wird die Warteschlange über einen Namen adressiert, definieren Sie die Resolver-Abhängigkeit getrennt. Das ganze LAN zu erlauben, damit ein Name aufgelöst wird, ist eine viel größere Änderung, als der Auftrag verlangt.

Wählen Sie bewusst zwischen dem Rückweg in den Pool und der Übersetzung der Quelle. Beides funktioniert, und jedes verbirgt etwas anderes vor den Protokollen.

Testen Sie die Ablehnung ebenso wie den Auftrag

Senden Sie einen kleinen, unkritischen Auftrag vom VPN-Nutzer, versuchen Sie dann eine LAN-Ressource, die abgelehnt werden sollte, und die eigene Verwaltungsseite der Firewall. Alle drei Tests gehören in dieselbe Sitzung, denn nur so sehen Sie die Politik als Ganzes. Ein erfolgreicher Druckauftrag allein beweist fast nichts über die Grenze.

Prüfen Sie IPv6 und jeden anderen aktiven VPN-Pfad, bevor Sie den Einsatz als nur-Drucker bezeichnen. Ein Regelsatz, der in einer Adressfamilie schmal ist, kann in der anderen weit offen sein.