VPN-käyttäjä tarvitsee yhden tulostimen, ei koko lähiverkkoa

Sääntö näyttää oikealta ja tulostin kieltäytyy silti. Tai tulostin toimii ja sama käyttäjä pääsee myös tiedostopalvelimeen, mikä on pahempaa. Molemmat tulokset tulevat yleensä samasta paikasta: kapea sääntö lisättiin sääntöjoukkoon, joka jo salli jotain laajempaa. Tehollisen järjestyksen lukeminen selittää tuloksen ennen kuin uutta sääntöä kirjoitetaan.

Oire: kapea sääntö ei muuttanut mitään

Oma VPN-allas, yksi tulostimen osoite ja sallintasääntö TCP 631:llä on järkevä suunnittelu. Kun se ei tuota mitään muutosta, ensimmäinen epäilys pitäisi olla, ettei liikenne koskaan saavuttanut tuota sääntöä. Sääntö päättää vain liikenteestä, joka saapuu sen kohdalle arviointijärjestyksessä. Kentät on helppo tarkistaa, ja ne ovat harvoin epäonnistumisen syy.

Vastakkainen oire on helpompi jättää huomaamatta. Tulostustyö onnistuu, ja niin onnistuu myös yhteys tiedostojakoon, johon tämän käyttäjän ei ollut tarkoitus päästä. Se tarkoittaa, että jokin aiempi salli jo lähiverkon.

Molemmat oireet viittaavat järjestykseen eivätkä uuden säännön kenttiin. Toinen on sääntö, joka ei koskaan täsmännyt, ja toinen sääntö, joka täsmäsi liian aikaisin.

Mihin sääntöjoukkoon liikenne todella osuu

pfSense arvioi säännöt liitäntäkohtaisesti, ja OpenVPN:llä on oma välilehti, jonka säännöt koskevat jokaista palvelin- ja asiakasinstanssia. Ne säännöt käsitellään ennen tiettyyn OpenVPN-liitäntään liitettyjä sääntöjä. Siksi OpenVPN-välilehdelle jäänyt laaja sallinta koskee myös tätä käyttäjää, mitä liitäntävälilehti sanoo tahansa. Kopioi tämä järjestys muutostietueeseen, jotta katselmointi voi tarkistaa sen avaamatta GUI:ta.

Siksi uusi kapea sallinta ei voi ottaa pääsyä pois. Palomuurisäännöt lisäävät oikeuden eivätkä ota sitä aiemmalta täsmäytykseltä.

Lue tehollinen luettelo ylhäältä ja pysähdy ensimmäiseen sääntöön, joka täsmää liikenteen kanssa. Se ensimmäinen täsmäytys on päätös, ja kaikki sen alapuolella on tavoittamattomissa siltä virralta.

Kirjoita sallintasääntö tulostustyöstä

Aloita työstä, älä tulostimesta. Käyttäjä tarvitsee tulostuspalvelun tulostimen osoitteessa, joten sääntö nimeää sen osoitteen, sen protokollan ja sen portin. VPN-altaan alias ja tulostimen alias pitävät säännön luettavana.

Vastusta kiusausta lisätä etsintä- tai hallintaportteja, jotta ohjattu toiminto olisi tyytyväisempi. Sääntö, joka päästää koko tulostimen, on eri käytäntö kuin sääntö, joka päästää tulostusjonon.

Pidä tulostimen oma todennus paikallaan. Verkkosallinta ei korvaa sitä. Jonon tason tili on oikea valvonta sille, kuka saa tulostaa mitä.

Kuusi arvoa kantavat koko tarkoituksen: sallinta toimena, IPv4 perheenä, TCP protokollana, altaan alias lähteenä, tulostimen alias kohteena ja 631 porttina. Kaikki näiden kuuden ulkopuolella on eri käytäntö kuin pyydetty.

Anna asiakkaalle polku ilman lähiverkon lupaa

Asiakas tarvitsee reitin tulostimen osoitteeseen, ja toimiston puoli tarvitsee vastauspolun VPN-altaaseen. Yhden /32:n työntäminen pitää asiakkaan kokoonpanon kapeana, mikä auttaa vianmäärityksessä. Se ei ole valtuutuksen raja, koska asiakas voi lisätä reittejä itse.

Jos jono osoitetaan nimellä, määritä resolveririippuvuus erikseen. Koko lähiverkon salliminen yhden nimen selvittämiseksi on paljon suurempi muutos kuin työ vaatii.

Valitse tietoisesti altaaseen takaisin reitittämisen ja lähteen kääntämisen välillä. Molemmat toimivat, ja kumpikin kätkee lokeilta jotain erilaista.

Testaa sekä hylkäys että työ

Lähetä yksi pieni, ei-arkaluontoinen työ VPN-käyttäjältä, kokeile sitten lähiverkon resurssia, joka pitäisi hylätä, ja palomuurin omaa hallintasivua. Kaikki kolme testiä kuuluvat samaan istuntoon, koska vain siten käytäntö näkyy kokonaisuutena. Pelkkä onnistunut tulostustyö ei todista rajasta juuri mitään.

Käy läpi IPv6 ja kaikki muut aktiiviset VPN-polut ennen kuin kutsut käyttöönottoa vain tulostimeksi. Sääntöjoukko, joka on kapea yhdessä osoiteperheessä, voi olla täysin avoin toisessa.