Ένας χρήστης VPN χρειάζεται έναν εκτυπωτή, όχι ολόκληρο το LAN

Ο κανόνας φαίνεται σωστός και ο εκτυπωτής εξακολουθεί να αρνείται. Ή ο εκτυπωτής λειτουργεί και ο ίδιος χρήστης φτάνει και στον διακομιστή αρχείων, που είναι χειρότερο. Και τα δύο αποτελέσματα προέρχονται συνήθως από το ίδιο σημείο: ο στενός κανόνας προστέθηκε σε ένα σύνολο κανόνων που ήδη επέτρεπε κάτι ευρύτερο. Η ανάγνωση της πραγματικής σειράς εξηγεί το αποτέλεσμα πριν γραφτεί οποιοσδήποτε νέος κανόνας.

Το σύμπτωμα: ο στενός κανόνας δεν άλλαξε τίποτα

Μια αποκλειστική πισίνα VPN, μία διεύθυνση εκτυπωτή και ένας κανόνας διέλευσης στο TCP 631 είναι λογικός σχεδιασμός. Όταν δεν παράγει καμία αλλαγή, η πρώτη υποψία πρέπει να είναι ότι η κίνηση δεν έφτασε ποτέ σε αυτόν τον κανόνα. Ένας κανόνας αποφασίζει μόνο για κίνηση που φτάνει στη θέση του στη σειρά αξιολόγησης. Τα πεδία ελέγχονται εύκολα και σπάνια είναι η αιτία της αποτυχίας.

Το αντίθετο σύμπτωμα χάνεται ευκολότερα. Η εργασία εκτύπωσης πετυχαίνει, και το ίδιο και μια σύνδεση σε κοινόχρηστο αρχείο που ο χρήστης δεν έπρεπε ποτέ να φτάσει. Αυτό σημαίνει ότι κάτι προγενέστερο είχε ήδη επιτρέψει το LAN.

Και τα δύο συμπτώματα δείχνουν τη σειρά και όχι τα πεδία του νέου κανόνα. Το ένα είναι κανόνας που δεν ταίριαξε ποτέ, και το άλλο κανόνας που ταίριαξε πολύ νωρίς.

Ποιο σύνολο κανόνων χτυπά στην πραγματικότητα η κίνηση

Το pfSense αξιολογεί κανόνες ανά διεπαφή, και το OpenVPN έχει δική του καρτέλα της οποίας οι κανόνες ισχύουν για κάθε παρουσία διακομιστή και πελάτη. Αυτοί οι κανόνες επεξεργάζονται πριν από τους κανόνες που έχουν ανατεθεί σε συγκεκριμένη διεπαφή OpenVPN. Επομένως μια ευρεία διέλευση που έμεινε στην καρτέλα OpenVPN ισχύει και για αυτόν τον χρήστη, ό,τι κι αν λέει η καρτέλα της διεπαφής. Αντιγράψτε αυτή τη σειρά στην καταγραφή αλλαγής ώστε η ανασκόπηση να μπορεί να την ελέγξει χωρίς να ανοίξει το GUI.

Γι' αυτό μια νέα στενή διέλευση δεν μπορεί να αφαιρέσει πρόσβαση. Οι κανόνες του τείχους προστασίας προσθέτουν άδεια και δεν την αφαιρούν από προγενέστερη αντιστοίχιση.

Διαβάστε την πραγματική λίστα από πάνω και σταματήστε στον πρώτο κανόνα που ταιριάζει με την κίνηση. Αυτή η πρώτη αντιστοίχιση είναι η απόφαση, και ό,τι βρίσκεται από κάτω είναι απρόσιτο για εκείνη τη ροή.

Γράψτε τον κανόνα διέλευσης από την εργασία εκτύπωσης

Ξεκινήστε από την εργασία και όχι από τον εκτυπωτή. Ο χρήστης χρειάζεται την υπηρεσία εκτύπωσης στη διεύθυνση του εκτυπωτή, οπότε ο κανόνας ονομάζει αυτή τη διεύθυνση, αυτό το πρωτόκολλο και αυτή τη θύρα. Ένα ψευδώνυμο για την πισίνα VPN και ένα ψευδώνυμο για τον εκτυπωτή κρατούν τον κανόνα αναγνώσιμο.

Αντισταθείτε στην προσθήκη θυρών ανακάλυψης ή διαχείρισης για να ευχαριστήσετε έναν οδηγό. Ένας κανόνας που επιτρέπει ολόκληρο τον εκτυπωτή είναι διαφορετική πολιτική από έναν που επιτρέπει μια ουρά εκτύπωσης.

Διατηρήστε τον έλεγχο ταυτότητας του ίδιου του εκτυπωτή. Μια άδεια δικτύου δεν τον αντικαθιστά. Ένας λογαριασμός σε επίπεδο ουράς είναι ο σωστός έλεγχος για το ποιος μπορεί να εκτυπώσει τι.

Έξι τιμές μεταφέρουν όλη την πρόθεση: διέλευση ως ενέργεια, IPv4 ως οικογένεια, TCP ως πρωτόκολλο, το ψευδώνυμο της πισίνας ως πηγή, το ψευδώνυμο του εκτυπωτή ως προορισμός και το 631 ως θύρα. Οτιδήποτε πέρα από αυτές τις έξι είναι διαφορετική πολιτική από τη ζητούμενη.

Δώστε στον πελάτη μια διαδρομή χωρίς άδεια LAN

Ο πελάτης χρειάζεται διαδρομή προς τη διεύθυνση του εκτυπωτή, και η πλευρά του γραφείου χρειάζεται διαδρομή απάντησης προς την πισίνα VPN. Η ώθηση ενός μόνο /32 κρατά τη διαμόρφωση του πελάτη στενή, που βοηθά στην αντιμετώπιση προβλημάτων. Δεν είναι το όριο εξουσιοδότησης, γιατί ο πελάτης μπορεί να προσθέσει μόνος του διαδρομές.

Αν η ουρά διευθυνσιοδοτείται με όνομα, ορίστε την εξάρτηση από τον επιλυτή ξεχωριστά. Το να επιτρέπεται όλο το LAN ώστε να επιλυθεί ένα όνομα είναι πολύ μεγαλύτερη αλλαγή από ό,τι απαιτεί η εργασία.

Διαλέξτε συνειδητά μεταξύ δρομολόγησης πίσω στην πισίνα και μετάφρασης της πηγής. Και τα δύο λειτουργούν, και το καθένα κρύβει κάτι διαφορετικό από τα αρχεία καταγραφής.

Δοκιμάστε την άρνηση καθώς και την εργασία

Στείλτε μια μικρή, μη ευαίσθητη εργασία από τον χρήστη VPN, μετά δοκιμάστε έναν πόρο LAN που θα έπρεπε να απορριφθεί και την ίδια τη σελίδα διαχείρισης του τείχους προστασίας. Και οι τρεις δοκιμές ανήκουν στην ίδια συνεδρία, γιατί μόνο έτσι βλέπετε την πολιτική συνολικά. Μια επιτυχημένη εργασία εκτύπωσης μόνη της δεν αποδεικνύει σχεδόν τίποτα για το όριο.

Ελέγξτε το IPv6 και οποιαδήποτε άλλη ενεργή διαδρομή VPN πριν χαρακτηρίσετε την εγκατάσταση μόνο-εκτυπωτή. Ένα σύνολο κανόνων στενό σε μια οικογένεια διευθύνσεων μπορεί να είναι εντελώς ανοιχτό στην άλλη.