کاربر VPN به یک چاپگر نیاز دارد، نه به کل LAN
یک VPN فقط برای چاپگر به یک قاعدهٔ عبور باریک و یک مسیر نیاز دارد، نه عضویت در LAN. پیش از اعتماد به قاعدهٔ باریک، ترتیب مؤثر قواعد را بررسی کنید.
قاعده درست به نظر می‌رسد و چاپگر همچنان امتناع می‌کند. یا چاپگر کار می‌کند و همان کاربر به سرور فایل هم دسترسی پیدا می‌کند، که بدتر است. هر دو نتیجه معمولاً از یک جا می‌آیند: قاعدهٔ باریک به مجموعه‌ای از قواعد اضافه شده که از پیش چیزی گسترده‌تر را مجاز می‌کرد. خواندن ترتیب مؤثر، نتیجه را پیش از نوشتن هر قاعدهٔ تازه توضیح می‌دهد.
نشانه: قاعدهٔ باریک هیچ چیز را تغییر نداد
یک استخر VPN اختصاصی، یک نشانی چاپگر و یک قاعدهٔ عبور روی TCP 631 طراحی معقولی است. وقتی هیچ تغییری پدید نمی‌آورد، اولین گمان باید این باشد که ترافیک هرگز به آن قاعده نرسیده است. یک قاعده فقط دربارهٔ ترافیکی تصمیم می‌گیرد که در ترتیب ارزیابی به جایگاه آن برسد. فیلدها آسان بررسی می‌شوند و به‌ندرت دلیل شکست هستند.
نشانهٔ مقابل آسان‌تر از چشم می‌افتد. کار چاپ موفق می‌شود و همچنین اتصال به یک اشتراک فایل که این کاربر هرگز نباید به آن می‌رسید. این یعنی چیزی پیش‌تر LAN را مجاز کرده بود.
هر دو نشانه به ترتیب اشاره دارند، نه به فیلدهای قاعدهٔ تازه. یکی قاعده‌ای است که هرگز مطابقت نکرد، و دیگری قاعده‌ای است که خیلی زود مطابقت کرد.
ترافیک در واقع به کدام مجموعه قاعده می‌خورد
pfSense قواعد را برای هر رابط ارزیابی می‌کند، و OpenVPN زبانهٔ خودش را دارد که قواعدش برای هر نمونهٔ سرور و کلاینت اعمال می‌شود. این قواعد پیش از قواعدی پردازش می‌شوند که به یک رابط مشخص OpenVPN اختصاص یافته‌اند. بنابراین یک عبور گسترده که در زبانهٔ OpenVPN رها شده، برای این کاربر هم اعمال می‌شود، هر چه زبانهٔ رابط بگوید. این ترتیب را در سابقهٔ تغییر کپی کنید تا بازبینی بتواند بدون باز کردن GUI آن را بررسی کند.
به همین دلیل یک عبور باریک تازه نمی‌تواند دسترسی را کم کند. قواعد دیوار آتش اجازه اضافه می‌کنند و آن را از یک مطابقت پیشین نمی‌گیرند.
فهرست مؤثر را از بالا بخوانید و در نخستین قاعده‌ای که با ترافیک مطابقت دارد بایستید. همان نخستین مطابقت تصمیم است، و هر چیز زیر آن برای آن جریان دست‌نیافتنی است.
قاعدهٔ عبور را از کار چاپ بنویسید
از کار شروع کنید، نه از چاپگر. کاربر به سرویس چاپ روی نشانی چاپگر نیاز دارد، پس قاعده همان نشانی، همان پروتکل و همان درگاه را نام می‌برد. یک نام مستعار برای استخر VPN و یک نام مستعار برای چاپگر قاعده را خوانا نگه می‌دارد.
در برابر افزودن درگاه‌های کشف یا مدیریت برای خوشحال کردن یک جادوگر مقاومت کنید. قاعده‌ای که تمام چاپگر را می‌پذیرد، سیاستی متفاوت از قاعده‌ای است که یک صف چاپ را می‌پذیرد.
احراز هویت خود چاپگر را سر جایش نگه دارید. اجازهٔ شبکه جانشین آن نیست. حساب در سطح صف، کنترل درست برای این است که چه کسی چه چیزی را می‌تواند چاپ کند.
شش مقدار کل قصد را حمل می‌کنند: عبور به‌عنوان کنش، IPv4 به‌عنوان خانواده، TCP به‌عنوان پروتکل، نام مستعار استخر به‌عنوان مبدأ، نام مستعار چاپگر به‌عنوان مقصد، و 631 به‌عنوان درگاه. هر چیز فراتر از این شش، سیاستی متفاوت از آن است که خواسته شده.
به کلاینت مسیری بدون اجازهٔ LAN بدهید
کلاینت به مسیری به نشانی چاپگر نیاز دارد، و سمت دفتر به مسیر پاسخی به استخر VPN. فرستادن یک /32 تنها، پیکربندی کلاینت را باریک نگه می‌دارد، که به عیب‌یابی کمک می‌کند. این مرز مجوزدهی نیست، چون کلاینت خودش می‌تواند مسیر اضافه کند.
اگر صف با نام نشانی‌دهی می‌شود، وابستگی به حل‌کننده را جداگانه تعریف کنید. مجاز کردن کل LAN برای اینکه یک نام حل شود، تغییری بسیار بزرگ‌تر از آن است که کار می‌طلبد.
آگاهانه میان مسیریابی بازگشتی به استخر و ترجمهٔ مبدأ یکی را انتخاب کنید. هر دو کار می‌کنند و هر کدام چیز متفاوتی را از گزارش‌ها پنهان می‌کند.
رد شدن را همان‌قدر بیازمایید که کار را
یک کار کوچک و غیرحساس از کاربر VPN بفرستید، سپس منبعی در LAN را که باید رد شود و صفحهٔ مدیریت خود دیوار آتش را بیازمایید. هر سه آزمون به یک نشست تعلق دارند، چون تنها راه دیدن سیاست به‌صورت کلی همین است. یک کار چاپ موفق به‌تنهایی تقریباً هیچ چیز دربارهٔ مرز ثابت نمی‌کند.
پیش از آنکه استقرار را فقط-چاپگر بنامید، IPv6 و هر مسیر VPN فعال دیگر را بازبینی کنید. مجموعه‌قاعده‌ای که در یک خانوادهٔ نشانی باریک است می‌تواند در خانوادهٔ دیگر کاملاً باز باشد.