Un usuario de VPN necesita una impresora, no toda la LAN

La regla parece correcta y la impresora sigue negándose. O la impresora funciona y el mismo usuario también llega al servidor de archivos, lo que es peor. Ambos resultados suelen venir del mismo sitio: la regla estrecha se añadió a un conjunto de reglas que ya permitía algo más amplio. Leer el orden efectivo explica el resultado antes de que se escriba ninguna regla nueva.

El síntoma: la regla estrecha no cambió nada

Un pool de VPN dedicado, una dirección de impresora y una regla de paso en TCP 631 es un diseño razonable. Cuando no produce ningún cambio, la primera sospecha debería ser que el tráfico nunca llegó a esa regla. Una regla solo decide para el tráfico que llega a su posición en el orden de evaluación. Los campos son fáciles de comprobar y rara vez son la causa del fallo.

El síntoma opuesto es más fácil de pasar por alto. El trabajo de impresión sale bien, y también una conexión a un recurso compartido al que este usuario nunca debió llegar. Eso significa que algo anterior ya permitió la LAN.

Ambos síntomas apuntan al orden y no a los campos de la regla nueva. Uno es una regla que nunca coincidió, y el otro es una regla que coincidió demasiado pronto.

A qué conjunto de reglas llega realmente el tráfico

pfSense evalúa las reglas por interfaz, y OpenVPN tiene su propia pestaña cuyas reglas se aplican a cada instancia de servidor y cliente. Esas reglas se procesan antes que las asignadas a una interfaz OpenVPN concreta. Por eso un paso amplio dejado en la pestaña de OpenVPN también se aplica a este usuario, diga lo que diga la pestaña de la interfaz. Copie ese orden en el registro del cambio para que la revisión pueda comprobarlo sin abrir la GUI.

Por eso un paso estrecho nuevo no puede restar acceso. Las reglas del cortafuegos añaden permiso y no lo quitan de una coincidencia anterior.

Lea la lista efectiva desde arriba y deténgase en la primera regla que coincida con el tráfico. Esa primera coincidencia es la decisión, y todo lo que hay debajo es inalcanzable para ese flujo.

Escriba la regla de paso desde el trabajo de impresión

Empiece por el trabajo y no por la impresora. El usuario necesita el servicio de impresión en la dirección de la impresora, así que la regla nombra esa dirección, ese protocolo y ese puerto. Un alias para el pool de VPN y un alias para la impresora mantienen la regla legible.

Resista la tentación de añadir puertos de descubrimiento o administración para contentar a un asistente. Una regla que admite toda la impresora es una política distinta de una que admite una cola de impresión.

Mantenga la autenticación propia de la impresora. Un permiso de red no la sustituye. Una cuenta a nivel de cola es el control correcto de quién puede imprimir qué.

Seis valores llevan toda la intención: paso como acción, IPv4 como familia, TCP como protocolo, el alias del pool como origen, el alias de la impresora como destino y 631 como puerto. Cualquier cosa más allá de esos seis es una política distinta de la solicitada.

Dé al cliente un camino sin permiso para la LAN

El cliente necesita una ruta a la dirección de la impresora, y el lado de la oficina necesita un camino de respuesta al pool de VPN. Enviar un solo /32 mantiene la configuración del cliente estrecha, lo que ayuda a diagnosticar. No es la frontera de autorización, porque un cliente puede añadir rutas por sí mismo.

Si la cola se direcciona por nombre, defina la dependencia del resolutor por separado. Permitir toda la LAN para que se resuelva un solo nombre es un cambio mucho mayor del que exige el trabajo.

Elija deliberadamente entre enrutar de vuelta al pool y traducir el origen. Ambas funcionan, y cada una oculta algo distinto de los registros.

Pruebe la denegación y también el trabajo

Envíe un trabajo pequeño y no sensible desde el usuario de VPN, luego pruebe un recurso de la LAN que debería ser denegado y la propia página de administración del cortafuegos. Las tres pruebas pertenecen a la misma sesión, porque es la única forma de ver la política en conjunto. Un trabajo de impresión correcto por sí solo no demuestra casi nada sobre la frontera.

Revise IPv6 y cualquier otra ruta VPN activa antes de calificar el despliegue de solo impresora. Un conjunto de reglas estrecho en una familia de direcciones puede estar completamente abierto en la otra.