pfSense irteerako NATa: irakurri lehenengo sortutako arauak

Ireki Firewall, gero NAT, gero Outbound, eta irakurri modua ezer gehitu aurretik. Automatic moduan pfSense-k WAN interfazeentzako arauak sortzen ditu eta, haien artean, urruneko sarbideko VPN sareentzako, beraz gehitu behar duzun poola askotan jadanik estalita dago. Eskuz idatzitako errenkada bat falta izatea ez da itzulpena falta den froga. Beheko ordenak eragozten dizu suebaki osoa Manual-era aldatzea pool bakarra konpontzeko.

Moduak erabakitzen du nork mantentzen duen itzulpena gailuko beste sare bakoitzerako, eta hori VPN salbuespen bat baino erabaki handiagoa da.

Automatic moduak VPN poola jadanik estaltzen du

Modu bakoitzak jabe ezberdina du. Automatic-ek WAN interfazeentzako arauak sortzen ditu eta urruneko sarbideko VPN sareak sartzen ditu bere iturrien artean. Hybrid-ek sortutako arau horiek gordetzen ditu eta haien ondoan eskuzkoak gehitzen uzten dizu. Manual-ek ez du ezer sortzen, beraz suebakiko itzulpen guztiak zure ardura bihurtzen dira, idatzi ez zenituenak barne. Laugarren ezarpen batek irteerako NATa erabat desgaitzen du. Eskuz idatzita dirudien errenkada batek ez du ezer frogatzen zein modu dagoen aktibo jakin arte.

Automatic eta Hybrid moduetan orriak sortutako arauak ere erakusten ditu. Irakurri itzazu VPN pool batek itzulpenik ez duela ondorioztatu aurretik: bilatu poolaren sarea iturri zutabean eta WAN interfazea interfaze zutabean.

Aukeratu Hybrid berrikusitako salbuespen baterako soilik

Dokumentatutako salbuespena oraindik posible da irteera politika benetan desberdina denean. Imajinatu 10.90.0.0/24 banatzen duen zerbitzari bat, non suebakiak IPv4 internet irteera eman behar duen eta bideratzeak jadanik WAN aukeratzen duen. Espero den eraldaketa iturria 10.90.0.23 WAN helbidera berridaztea da. Egiaztatu sortutako arauren batek jadanik hori egiten duen irteera horretan; ez bada, Hybrid-ek estaldura automatikoa mantentzen du eta zure berrikusitako araua gehitzen du.

Erabili benetako VPN poola iturri gisa, edo harentzako onartutako alias bat, eta inoiz ez aukeratu erlazionatu gabeko helbide bat OpenVPN instantziaren izena hautatzailean falta delako soilik. Saihestu any iturria, suebakiak berak sortzen duen trafikoa ere itzultzen baitu.

Ez eraman suebaki osoa Manual-era pool bakarra dela eta. Erabaki horrek barne sare bakoitzaren eta etorkizuneko WAN aldaketa bakoitzaren mantentze-lana berria esleitzen du.

NATak ez du irteera aukeratzen

Bideratzeak aukeratzen du irteerako interfazea; irteerako NAT arauak soilik deskribatzen du nola berridazten den iturria paketea atera ondoren. WANerako mapaketak ez du bideratzeak beste norabait bidalitako paketea WANetik pasatzera behartzen, eta horregatik NATa gehitzeak ezin du bide oker bat konpondu. Aztertu aplikagarriak diren 1:1 NAT sarrerak eta salbuespenak ere, ordena garrantzitsua baita eta errenkada berri batek ez du nahitaez irabazten. Eta irteerako orria ez da iragazketa orria.

Itzulitako iturria ez da edozein helmugara iristeko baimena. Bezeroek tunelaren bidezko bidea eta haien trafikoa onartzen duen suebaki araua behar dituzte oraindik, eta aukeratutako irteerak itzulera bide funtzionala behar du. Mantendu LANeko sarbidea internet irteerako baimenetik bereizita.

Frogatu eraldaketa konexio berri batean

Aldaketa onartu ondoren, probatu baimendutako konexio berri batekin lehendik dagoena berrerabili beharrean, ezarritako egoerek aurreko eraldaketa gordetzen baitute. Egiaztatu WANetik benetan irteten den iturri helbidea eta erantzuna egoera beretik itzultzen dela. Ez hustu egoera taula osoa lehen urrats gisa; horrek ezkutatzen du zein arauk aldatu zuen emaitza. Idatzi modua, araua, poola eta irteera aldaketa tiketean.

Adibide honek IPv4 irteera soilik estaltzen du. Ez du ezer esaten IPv6 itzulpen edo iragazketa politikari buruz, eta bat behar duen diseinuak bereiz adierazi behar du. Amaitutako erregistroak baimendutako bezero trafikoa, hura garraiatzen duen interfazea eta iturria zergatik behar den berridatzi zerrendatzen ditu.