pfSense elira NAT: unue legu la generitajn regulojn

Malfermu Firewall, poste NAT, poste Outbound, kaj legu la reĝimon antaŭ ol aldoni ion. En la reĝimo Automatic pfSense generas regulojn por la WAN-interfacetoj kaj, inter ili, por foraj aliraj VPN-retoj, do la pulo, kiun vi intencas aldoni, ofte jam estas kovrita. Mankanta permane skribita vico ne pruvas, ke la traduko mankas. La suba ordo malhelpas al vi ŝanĝi la tutan fajroŝirmilon al Manual por solvi unu pulon.

La reĝimo decidas, kiu prizorgas la tradukon por ĉiu alia reto sur la aparato, kaj tio estas pli granda decido ol unu VPN-escepto.

La reĝimo Automatic jam kovras la VPN-pulon

Ĉiu reĝimo havas propran posedanton. Automatic generas regulojn por la WAN-interfacetoj kaj inkludas forajn alirajn VPN-retojn inter siaj fontoj. Hybrid konservas tiujn generitajn regulojn kaj lasas al vi aldoni permanajn apud ili. Manual ĉesas generi ion ajn, do ĉiu traduko sur la fajroŝirmilo fariĝas via respondeco, inkluzive tiujn, kiujn vi ne skribis. Kvara agordo tute malŝaltas eliran NAT. Vico, kiu aspektas permane skribita, pruvas nenion ĝis vi scias, kiu reĝimo estas aktiva.

En Automatic kaj Hybrid la paĝo ankaŭ montras la generitajn regulojn. Legu ilin antaŭ ol konkludi, ke VPN-pulo ne havas tradukon: serĉu la reton de la pulo en la fonta kolumno kaj la WAN-interfacon en la interfaca kolumno.

Elektu Hybrid nur por reviziita escepto

Dokumentita escepto ankoraŭ eblas, kiam la elira politiko vere diferencas. Imagu servilon, kiu disdonas 10.90.0.0/24, kie la fajroŝirmilo devus provizi IPv4-interretan eliron kaj la enkursigado jam elektas WAN. La atendata transformo estas, ke fonto 10.90.0.23 estas reskribita al la WAN-adreso. Kontrolu, ĉu generita regulo jam faras tion ĉe tiu eliro; se ne, Hybrid konservas la aŭtomatan kovron kaj aldonas vian reviziitan regulon.

Uzu la realan VPN-pulon kiel fonton, aŭ subtenatan alinomon por ĝi, kaj neniam elektu nerilatan adreson nur ĉar la nomo de la OpenVPN-instanco mankas en elektilo. Evitu fonton any, kiu ankaŭ tradukas trafikon, kiun la fajroŝirmilo mem originas.

Ne movu la tutan fajroŝirmilon al Manual por unu pulo. Tiu decido reasignas la prizorgadon por ĉiu interna reto kaj ĉiu estonta WAN-ŝanĝo.

NAT ne elektas la eliron

Enkursigado elektas la eliran interfacon; elira NAT-regulo nur priskribas, kiel la fonto estas reskribita post kiam paketo forlasas. Mapado por WAN ne devigas paketon, kiun la enkursigado sendis aliloken, iri tra WAN, tial aldono de NAT ne povas ripari malĝustan itineron. Kontrolu ankaŭ aplikajn 1:1 NAT-enskribojn kaj esceptojn, ĉar ordo gravas kaj nova vico ne nepre venkas. Kaj la elira paĝo ne estas la filtra paĝo.

Tradukita fonto ne estas permeso atingi ĉiun celon. Klientoj ankoraŭ bezonas itineron tra la tunelo kaj fajroŝirmilan regulon, kiu akceptas ilian trafikon, kaj la elektita eliro bezonas funkciantan revenan vojon. Tenu LAN-nura aliron aparte de permeso al interreta eliro.

Pruvu la transformon sur nova konekto

Post aprobita ŝanĝo, testu per nova rajtigita konekto anstataŭ reuzi ekzistantan, ĉar establitaj statoj konservas sian antaŭan transformon. Konfirmu la fontan adreson, kiu efektive forlasas WAN, kaj ke la respondo revenas tra la sama stato. Ne malplenigu la tutan statan tabelon kiel unuan paŝon; tio kaŝas, kiu regulo ŝanĝis la rezulton. Notu la reĝimon, la regulon, la pulon kaj la eliron en la ŝanĝa bileto.

Ĉi tiu ekzemplo kovras nur IPv4-eliron. Ĝi diras nenion pri IPv6-traduko aŭ filtra politiko, kaj dizajno, kiu bezonas unu, devas deklari ĝin aparte. La finita rikordo listigas la permesitan klientan trafikon, la interfacon, kiu portas ĝin, kaj la kialon, kial la fonto entute devas esti reskribita.