pfSense-lähtevä NAT: lue ensin luodut säännöt

Avaa Firewall, sitten NAT ja sitten Outbound, ja lue tila ennen kuin lisäät mitään. Automatic-tilassa pfSense luo säännöt WAN-liitännöille ja niiden joukossa etäkäytön VPN-verkoille, joten lisäämäsi allas on usein jo peitetty. Puuttuva käsin kirjoitettu rivi ei todista, että käännös puuttuu. Alla oleva järjestys estää sinua vaihtamasta koko palomuuria Manual-tilaan yhden altaan ratkaisemiseksi.

Tila päättää, kuka ylläpitää käännöstä jokaiselle muulle laitteen verkolle, ja se on suurempi päätös kuin yksi VPN-poikkeus.

Automatic-tila kattaa jo VPN-altaan

Jokaisella tilalla on oma omistajansa. Automatic luo säännöt WAN-liitännöille ja sisällyttää etäkäytön VPN-verkot lähteisiinsä. Hybrid säilyttää nämä luodut säännöt ja antaa sinun lisätä manuaalisia niiden viereen. Manual lakkaa luomasta mitään, joten jokaisesta palomuurin käännöksestä tulee sinun vastuullasi, myös niistä, joita et kirjoittanut. Neljäs asetus poistaa lähtevän NATin kokonaan käytöstä. Käsin kirjoitetulta näyttävä rivi ei todista mitään ennen kuin tiedät, mikä tila on aktiivinen.

Automatic- ja Hybrid-tiloissa sivu näyttää myös luodut säännöt. Lue ne ennen kuin päättelet, ettei VPN-altaalla ole käännöstä: etsi altaan verkko lähde-sarakkeesta ja WAN-liitäntä liitäntä-sarakkeesta.

Valitse Hybrid vain tarkistettua poikkeusta varten

Dokumentoitu poikkeus on yhä mahdollinen, kun lähtevä käytäntö todella poikkeaa. Kuvittele palvelin, joka jakaa 10.90.0.0/24-verkkoa, jossa palomuurin pitäisi tarjota IPv4-internetlähtö ja reititys valitsee jo WANin. Odotettu muunnos on, että lähde 10.90.0.23 kirjoitetaan uudelleen WAN-osoitteeksi. Tarkista, tekeekö luotu sääntö sen jo kyseisellä lähdöllä; jos ei, Hybrid säilyttää automaattisen kattavuuden ja lisää tarkistetun sääntösi.

Käytä lähteenä todellista VPN-allasta tai sille tuettua aliasta, äläkä koskaan valitse asiaankuulumatonta osoitetta vain siksi, että OpenVPN-instanssin nimi puuttuu valitsimesta. Vältä any-lähdettä, joka kääntää myös palomuurin itsensä tuottamaa liikennettä.

Älä siirrä koko palomuuria Manual-tilaan yhden altaan vuoksi. Päätös siirtää ylläpidon vastuun jokaiselle sisäiselle verkolle ja jokaiselle tulevalle WAN-muutokselle.

NAT ei valitse lähtöä

Reititys valitsee lähtöliitännän; lähtevän NATin sääntö kuvaa vain, miten lähde kirjoitetaan uudelleen, kun paketti lähtee. WANin kuvaus ei pakota pakettia, jonka reititys lähetti muualle, menemään WANin kautta, minkä vuoksi NATin lisääminen ei voi korjata väärää reittiä. Tarkista myös soveltuvat 1:1 NAT -merkinnät ja poikkeukset, sillä järjestyksellä on merkitystä eikä uusi rivi välttämättä voita. Eikä lähtevän NATin sivu ole suodatussivu.

Käännetty lähde ei ole lupa saavuttaa jokaista kohdetta. Asiakkaat tarvitsevat yhä reitin tunnelin kautta ja palomuurisäännön, joka päästää niiden liikenteen, ja valitulla lähdöllä täytyy olla toimiva paluureitti. Pidä vain-LAN-pääsy erillään internetlähdön luvasta.

Todista muunnos uudella yhteydellä

Hyväksytyn muutoksen jälkeen testaa uudella valtuutetulla yhteydellä sen sijaan, että käyttäisit olemassa olevaa uudelleen, koska vakiintuneet tilat säilyttävät aiemman muunnoksensa. Vahvista lähdeosoite, joka todella poistuu WANista, ja että vastaus palaa saman tilan kautta. Älä tyhjennä koko tilataulua ensimmäisenä toimenpiteenä; se peittää, mikä sääntö muutti tuloksen. Kirjaa tila, sääntö, allas ja lähtö muutostikettiin.

Tämä esimerkki kattaa vain IPv4-lähdön. Se ei kerro mitään IPv6-muunnoksesta tai suodatuskäytännöstä, ja suunnittelun, joka tarvitsee sitä, on ilmoitettava se erikseen. Valmis kirjaus luettelee sallitun asiakasliikenteen, sen kuljettavan liitännän ja syyn siihen, miksi lähde ylipäänsä on kirjoitettava uudelleen.