Un utilisateur VPN a besoin d’une imprimante, pas de tout le LAN

La règle semble correcte et l’imprimante refuse toujours. Ou l’imprimante fonctionne et le même utilisateur atteint aussi le serveur de fichiers, ce qui est pire. Les deux résultats viennent généralement du même endroit : la règle étroite a été ajoutée à un jeu de règles qui autorisait déjà quelque chose de plus large. Lire l’ordre effectif explique le résultat avant qu’une nouvelle règle ne soit écrite.

Le symptôme : la règle étroite n’a rien changé

Un pool VPN dédié, une adresse d’imprimante et une règle d’autorisation sur TCP 631 constituent une conception raisonnable. Quand cela ne produit aucun changement, le premier soupçon doit être que le trafic n’a jamais atteint cette règle. Une règle ne décide que pour le trafic qui arrive à sa position dans l’ordre d’évaluation. Les champs sont faciles à vérifier et rarement la cause de l’échec.

Le symptôme opposé est plus facile à manquer. Le travail d’impression réussit, et une connexion à un partage de fichiers que cet utilisateur n’aurait jamais dû atteindre réussit aussi. Cela signifie que quelque chose de plus ancien avait déjà autorisé le LAN.

Les deux symptômes pointent l’ordre et non les champs de la nouvelle règle. L’un est une règle qui n’a jamais correspondu, et l’autre une règle qui a correspondu trop tôt.

Quel jeu de règles le trafic atteint réellement

pfSense évalue les règles par interface, et OpenVPN a son propre onglet dont les règles s’appliquent à chaque instance de serveur et de client. Ces règles sont traitées avant celles affectées à une interface OpenVPN particulière. Une autorisation large laissée dans l’onglet OpenVPN s’applique donc aussi à cet utilisateur, quoi que dise l’onglet de l’interface. Copiez cet ordre dans le compte rendu de changement pour que la revue puisse le vérifier sans ouvrir l’interface graphique.

C’est pourquoi une nouvelle autorisation étroite ne peut pas retirer un accès. Les règles du pare-feu ajoutent une permission et ne la retirent pas à une correspondance antérieure.

Lisez la liste effective depuis le haut et arrêtez-vous à la première règle qui correspond au trafic. Cette première correspondance est la décision, et tout ce qui est en dessous est inaccessible pour ce flux.

Écrivez la règle d’autorisation à partir du travail d’impression

Partez du travail et non de l’imprimante. L’utilisateur a besoin du service d’impression sur l’adresse de l’imprimante, donc la règle nomme cette adresse, ce protocole et ce port. Un alias pour le pool VPN et un alias pour l’imprimante gardent la règle lisible.

Résistez à l’ajout de ports de découverte ou d’administration pour faire plaisir à un assistant. Une règle qui admet toute l’imprimante est une politique différente de celle qui admet une file d’impression.

Conservez l’authentification propre de l’imprimante. Une autorisation réseau ne la remplace pas. Un compte au niveau de la file est le bon contrôle de qui peut imprimer quoi.

Six valeurs portent toute l’intention : autorisation comme action, IPv4 comme famille, TCP comme protocole, l’alias du pool comme source, l’alias de l’imprimante comme destination et 631 comme port. Tout ce qui dépasse ces six est une politique différente de celle demandée.

Donnez au client un chemin sans autorisation LAN

Le client a besoin d’une route vers l’adresse de l’imprimante, et le côté bureau a besoin d’un chemin de réponse vers le pool VPN. Pousser un seul /32 garde la configuration du client étroite, ce qui aide au diagnostic. Ce n’est pas la frontière d’autorisation, car un client peut ajouter des routes lui-même.

Si la file est adressée par nom, définissez la dépendance au résolveur séparément. Autoriser tout le LAN pour qu’un seul nom se résolve est un changement bien plus important que ne l’exige le travail.

Choisissez délibérément entre le routage vers le pool et la traduction de la source. Les deux fonctionnent, et chacun cache quelque chose de différent aux journaux.

Testez le refus autant que le travail

Soumettez un travail petit et non sensible depuis l’utilisateur VPN, puis essayez une ressource du LAN qui devrait être refusée et la page d’administration du pare-feu elle-même. Les trois tests appartiennent à la même session, car c’est la seule façon de voir la politique dans son ensemble. Un travail d’impression réussi seul ne prouve presque rien sur la frontière.

Examinez IPv6 et tout autre chemin VPN actif avant de qualifier le déploiement d’imprimante uniquement. Un jeu de règles étroit dans une famille d’adresses peut être grand ouvert dans l’autre.