Εξερχόμενο NAT στο pfSense: διαβάστε πρώτα τους παραγόμενους κανόνες

Ανοίξτε Firewall, μετά NAT, μετά Outbound, και διαβάστε τη λειτουργία πριν προσθέσετε οτιδήποτε. Στη λειτουργία Automatic το pfSense παράγει κανόνες για τις διεπαφές WAN και, ανάμεσά τους, για δίκτυα VPN απομακρυσμένης πρόσβασης, οπότε η πισίνα που πρόκειται να προσθέσετε καλύπτεται συχνά ήδη. Μια γραμμή χειρόγραφης μορφής που λείπει δεν αποτελεί απόδειξη ότι λείπει η μετάφραση. Η σειρά παρακάτω σας αποτρέπει από το να μετατρέψετε ολόκληρο το τείχος προστασίας σε Manual για να λύσετε μία πισίνα.

Η λειτουργία καθορίζει ποιος συντηρεί τη μετάφραση για κάθε άλλο δίκτυο στη συσκευή, και αυτό είναι μεγαλύτερη απόφαση από μία εξαίρεση VPN.

Η λειτουργία Automatic καλύπτει ήδη την πισίνα VPN

Κάθε λειτουργία έχει διαφορετικό ιδιοκτήτη. Η Automatic παράγει κανόνες για τις διεπαφές WAN και περιλαμβάνει τα δίκτυα VPN απομακρυσμένης πρόσβασης στις πηγές της. Η Hybrid διατηρεί αυτούς τους παραγόμενους κανόνες και σας αφήνει να προσθέσετε χειροκίνητους δίπλα τους. Η Manual σταματά να παράγει οτιδήποτε, οπότε κάθε μετάφραση στο τείχος προστασίας γίνεται δική σας ευθύνη, ακόμη και όσες δεν γράψατε εσείς. Μια τέταρτη ρύθμιση απενεργοποιεί εντελώς το εξερχόμενο NAT. Μια γραμμή που φαίνεται χειρόγραφη δεν αποδεικνύει τίποτα μέχρι να ξέρετε ποια λειτουργία είναι ενεργή.

Στις λειτουργίες Automatic και Hybrid η σελίδα εμφανίζει και τους παραγόμενους κανόνες. Διαβάστε τους πριν συμπεράνετε ότι μια πισίνα VPN δεν έχει μετάφραση: αναζητήστε το δίκτυο της πισίνας στη στήλη προέλευσης και τη διεπαφή WAN στη στήλη διεπαφής.

Επιλέξτε Hybrid μόνο για εξαίρεση που έχει ελεγχθεί

Μια τεκμηριωμένη εξαίρεση παραμένει δυνατή όταν η πολιτική εξόδου διαφέρει πραγματικά. Φανταστείτε έναν διακομιστή που διανέμει 10.90.0.0/24, όπου το τείχος προστασίας πρέπει να παρέχει έξοδο στο διαδίκτυο IPv4 και η δρομολόγηση επιλέγει ήδη WAN. Ο αναμενόμενος μετασχηματισμός είναι η προέλευση 10.90.0.23 να ξαναγραφτεί στη διεύθυνση WAN. Ελέγξτε αν κάποιος παραγόμενος κανόνας το κάνει ήδη σε αυτή την έξοδο· αν όχι, η Hybrid διατηρεί την αυτόματη κάλυψη και προσθέτει τον ελεγμένο κανόνα σας.

Χρησιμοποιήστε την πραγματική πισίνα VPN ως προέλευση ή ένα υποστηριζόμενο ψευδώνυμο γι' αυτήν, και μην επιλέγετε ποτέ μια άσχετη διεύθυνση μόνο επειδή το όνομα της παρουσίας OpenVPN λείπει από έναν επιλογέα. Αποφύγετε προέλευση any, η οποία μεταφράζει και κίνηση που δημιουργεί το ίδιο το τείχος προστασίας.

Μην μεταφέρετε ολόκληρο το τείχος προστασίας σε Manual για μία πισίνα. Αυτή η απόφαση αναθέτει εκ νέου τη συντήρηση για κάθε εσωτερικό δίκτυο και κάθε μελλοντική αλλαγή WAN.

Το NAT δεν επιλέγει την έξοδο

Η δρομολόγηση επιλέγει τη διεπαφή εξόδου· ένας κανόνας εξερχόμενου NAT περιγράφει μόνο πώς ξαναγράφεται η προέλευση μόλις φύγει το πακέτο. Μια αντιστοίχιση για WAN δεν εξαναγκάζει ένα πακέτο που η δρομολόγηση έστειλε αλλού να περάσει από WAN, γι' αυτό η προσθήκη NAT δεν μπορεί να διορθώσει λάθος διαδρομή. Ελέγξτε επίσης τις ισχύουσες καταχωρίσεις NAT 1:1 και τις εξαιρέσεις, γιατί η σειρά μετράει και μια νέα γραμμή δεν κερδίζει απαραίτητα. Και η σελίδα εξερχόμενου NAT δεν είναι η σελίδα φιλτραρίσματος.

Μια μεταφρασμένη προέλευση δεν είναι άδεια για να φτάσετε σε κάθε προορισμό. Οι πελάτες χρειάζονται ακόμη διαδρομή μέσω της σήραγγας και κανόνα τείχους προστασίας που δέχεται την κίνησή τους, και η επιλεγμένη έξοδος χρειάζεται λειτουργική διαδρομή επιστροφής. Κρατήστε την πρόσβαση μόνο σε LAN χωριστά από την άδεια εξόδου στο διαδίκτυο.

Αποδείξτε τον μετασχηματισμό σε νέα σύνδεση

Μετά από εγκεκριμένη αλλαγή, δοκιμάστε με νέα εξουσιοδοτημένη σύνδεση αντί να επαναχρησιμοποιήσετε υπάρχουσα, γιατί οι εδραιωμένες καταστάσεις διατηρούν τον προηγούμενο μετασχηματισμό τους. Επιβεβαιώστε τη διεύθυνση προέλευσης που φεύγει πραγματικά από το WAN και ότι η απάντηση επιστρέφει από την ίδια κατάσταση. Μην εκκενώσετε ολόκληρο τον πίνακα καταστάσεων ως πρώτο βήμα· αυτό κρύβει ποιος κανόνας άλλαξε το αποτέλεσμα. Καταγράψτε τη λειτουργία, τον κανόνα, την πισίνα και την έξοδο στο δελτίο αλλαγής.

Αυτό το παράδειγμα καλύπτει μόνο έξοδο IPv4. Δεν λέει τίποτα για μετασχηματισμό ή πολιτική φιλτραρίσματος IPv6, και ένα σχέδιο που χρειάζεται κάτι τέτοιο πρέπει να το δηλώσει χωριστά. Η τελική καταγραφή απαριθμεί την επιτρεπόμενη κίνηση πελατών, τη διεπαφή που τη μεταφέρει και τον λόγο για τον οποίο η προέλευση χρειάζεται καθόλου να ξαναγραφτεί.