VPN-i kasutajal on vaja ühte printerit, mitte kogu LAN-i

Reegel näib õige ja printer keeldub endiselt. Või printer töötab ja sama kasutaja pääseb ka failiserverisse, mis on hullem. Mõlemad tulemused tulevad tavaliselt samast kohast: kitsas reegel lisati reeglistikku, mis lubas juba midagi laiemat. Kehtiva järjekorra lugemine selgitab tulemust enne, kui kirjutatakse ükskõik milline uus reegel.

Sümptom: kitsas reegel ei muutnud midagi

Spetsiaalne VPN-i bassein, üks printeri aadress ja lubamisreegel TCP 631 jaoks on mõistlik lahendus. Kui see ei anna üldse muutust, peaks esimene kahtlus olema, et liiklus ei jõudnud kunagi selle reeglini. Reegel otsustab ainult selle liikluse üle, mis jõuab tema positsioonile hindamisjärjekorras. Välju on lihtne kontrollida ja need on harva ebaõnnestumise põhjus.

Vastupidist sümptomit on kergem märkamata jätta. Printimistöö õnnestub ja nii ka ühendus failijagamisega, kuhu see kasutaja ei oleks tohtinud jõuda. See tähendab, et midagi varasemat lubas LAN-i juba.

Mõlemad sümptomid viitavad järjestusele, mitte uue reegli väljadele. Üks neist on reegel, mis ei sobitunud kunagi, ja teine on reegel, mis sobitus liiga vara.

Millist reeglistikku liiklus tegelikult tabab

pfSense hindab reegleid liidese kaupa ja OpenVPN-il on oma vaheleht, mille reeglid kehtivad iga serveri- ja kliendiinstantsi kohta. Need reeglid töödeldakse enne konkreetsele OpenVPN-i liidesele määratud reegleid. Seega lai luba, mis on jäetud OpenVPN-i vahelehele, kehtib ka sellele kasutajale, ükskõik mida liidese vaheleht ütleb. Kopeerige see järjekord muudatuse kirjesse, et ülevaatus saaks seda kontrollida ilma GUI-d avamata.

Seetõttu ei saa uus kitsas luba juurdepääsu ära võtta. Tulemüüri reeglid lisavad luba ega võta seda varasemalt vastelt.

Lugege kehtivat loendit ülalt ja peatuge esimesel reeglil, mis liiklusega sobib. See esimene vaste on otsus ja kõik sellest allpool on selle voo jaoks kättesaamatu.

Kirjutage lubamisreegel printimistööst

Alustage tööst, mitte printerist. Kasutajal on vaja printimisteenust printeri aadressil, seega reegel nimetab selle aadressi, selle protokolli ja selle pordi. VPN-i basseini alias ja printeri alias hoiavad reegli loetavana.

Vastu pidage kiusatusele lisada avastamis- või halduspordid, et viisardit rõõmsamaks teha. Reegel, mis lubab kogu printerit, on teine poliitika kui see, mis lubab prindijärjekorda.

Jätke printeri enda autentimine paigale. Võrgu luba ei asenda seda. Järjekorra tasandi konto on õige kontroll selle üle, kes mida printida tohib.

Kogu kavatsust kannavad kuus väärtust: luba tegevusena, IPv4 perekonnana, TCP protokollina, basseini alias allikana, printeri alias sihtkohana ja 631 pordina. Kõik väljaspool neid kuut on teine poliitika kui nõutud.

Andke kliendile tee ilma LAN-i loata

Klient vajab marsruuti printeri aadressini ja kontoripool vajab vastusteed VPN-i basseinini. Ühe /32 saatmine hoiab kliendi konfiguratsiooni kitsana, mis aitab tõrkeotsingut. See ei ole autoriseerimise piir, sest klient saab ise marsruute lisada.

Kui järjekorda adresseeritakse nimega, määrake lahendaja sõltuvus eraldi. Kogu LAN-i lubamine, et üks nimi lahendataks, on palju suurem muudatus, kui töö nõuab.

Valige teadlikult basseini tagasi suunamise ja allika tõlkimise vahel. Mõlemad töötavad ja kumbki varjab logides midagi erinevat.

Testige nii keeldumist kui ka tööd

Saatke VPN-i kasutajalt üks väike, mitte-tundlik töö, seejärel proovige LAN-i ressurssi, mis peaks olema keelatud, ja tulemüüri enda halduslehte. Kõik kolm testi kuuluvad samasse sessiooni, sest see on ainus viis näha poliitikat tervikuna. Üksnes õnnestunud printimistöö ei tõesta piiri kohta peaaegu midagi.

Vaadake üle IPv6 ja mis tahes muu aktiivne VPN-i tee, enne kui nimetate juurutuse ainult printeriks. Reeglistik, mis on ühes aadressiperekonnas kitsas, võib teises täiesti avatud olla.