pfSense väljuv NAT: lugege esmalt genereeritud reegleid

Avage Firewall, seejärel NAT ja seejärel Outbound, ning lugege režiimi enne millegi lisamist. Režiimis Automatic genereerib pfSense reeglid WAN-liidestele ja nende hulgas kaugjuurdepääsu VPN-võrkudele, seega pool, mida kavatsete lisada, on sageli juba kaetud. Puuduv käsitsi kirjutatud rida ei ole tõend selle kohta, et tõlge puudub. Allpool kirjeldatud järjekord hoiab teid ära lülitamast kogu tulemüüri Manual-režiimi ühe pooli lahendamiseks.

Režiim otsustab, kes haldab tõlget kõigi teiste seadme võrkude jaoks, ja see on suurem otsus kui üks VPN-erand.

Režiim Automatic katab VPN-i pooli juba

Igal režiimil on oma omanik. Automatic genereerib reeglid WAN-liidestele ja lisab oma allikate hulka kaugjuurdepääsu VPN-võrgud. Hybrid säilitab need genereeritud reeglid ja lubab teil nende kõrvale käsitsi reegleid lisada. Manual lõpetab millegi genereerimise, nii et iga tõlge tulemüüril muutub teie vastutuseks, sealhulgas need, mida te ei kirjutanud. Neljas säte lülitab väljuva NAT-i täielikult välja. Rida, mis näeb välja käsitsi kirjutatud, ei tõesta midagi enne, kui teate, milline režiim on aktiivne.

Režiimides Automatic ja Hybrid kuvab leht ka genereeritud reegleid. Lugege neid enne, kui järeldada, et VPN-i poolil pole tõlget: otsige pooli võrku allika veerust ja WAN-liidest liidese veerust.

Valige Hybrid ainult üle vaadatud erandi jaoks

Dokumenteeritud erand on endiselt võimalik, kui väljundpoliitika tegelikult erineb. Kujutage ette serverit, mis jagab 10.90.0.0/24, kus tulemüür peaks pakkuma IPv4-interneti väljundit ja marsruutimine valib juba WAN-i. Oodatav teisendus on see, et allikas 10.90.0.23 kirjutatakse ümber WAN-i aadressile. Kontrollige, kas genereeritud reegel teeb seda juba sellel väljundil; kui ei, säilitab Hybrid automaatse katvuse ja lisab teie üle vaadatud reegli.

Kasutage allikana tegelikku VPN-i pooli või selle jaoks toetatud aliast ja ärge kunagi valige mitteseotud aadressi ainult seetõttu, et OpenVPN eksemplari nimi valijast puudub. Vältige allikat any, mis tõlgib ka liiklust, mille tulemüür ise loob.

Ärge lülitage kogu tulemüüri ühe pooli pärast Manual-režiimi. See otsus määrab hoolduse ümber iga sisemise võrgu ja iga tulevase WAN-i muudatuse jaoks.

NAT ei vali väljundit

Marsruutimine valib väljundliidese; väljuva NAT-i reegel kirjeldab ainult seda, kuidas allikas ümber kirjutatakse pärast paketi lahkumist. WAN-i vastendus ei sunni paketti, mille marsruutimine saatis mujale, WAN-i kaudu liikuma, mistõttu NAT-i lisamine ei saa valet marsruuti parandada. Kontrollige ka asjakohaseid 1:1 NAT-i kirjeid ja erandeid, sest järjekord on oluline ja uus rida ei pruugi võita. Ja väljundi leht ei ole filtreerimise leht.

Tõlgitud allikas ei ole luba jõuda igasse sihtkohta. Kliendid vajavad endiselt marsruuti tunnelist ja tulemüüri reeglit, mis nende liiklust lubab, ning valitud väljund vajab töötavat tagasiteed. Hoidke ainult LAN-i juurdepääs interneti väljundi loast eraldi.

Tõestage teisendus uuel ühendusel

Pärast kinnitatud muudatust katsetage uue volitatud ühendusega, mitte ärge kasutage olemasolevat uuesti, sest loodud olekud säilitavad varasema teisenduse. Kinnitage lähteaadress, mis WAN-ilt tegelikult lahkub, ja et vastus naaseb sama oleku kaudu. Ärge tühjendage kogu olekutabelit esimese sammuna; see varjab, milline reegel tulemust muutis. Kirjutage muudatuspiletile režiim, reegel, pool ja väljund.

See näide hõlmab ainult IPv4 väljundit. See ei ütle midagi IPv6 teisenduse ega filtreerimispoliitika kohta ning lahendus, mis seda vajab, peab selle eraldi märkima. Valmis kirje loetleb lubatud kliendiliikluse, seda kandva liidese ja põhjuse, miks allikat üldse ümber kirjutada tuleb.