pfSense útgeande NAT: lês earst de generearre regels

Iepenje Firewall, dan NAT, dan Outbound, en lês de modus foardat jo eat tafoegje. Yn 'e Automatic-modus generearret pfSense regels foar de WAN-ynterfaces en, dêrûnder, foar remote-access-VPN-netwurken, sadat de pool dy't jo tafoegje wolle faak al dekt is. In ûntbrekkende hânskreaune rige is gjin bewiis dat de oersetting ûntbrekt. De folchoarder hjirûnder hâldt jo tsjin om de hiele firewall nei Manual te setten om ien pool op te lossen.

De modus bepaalt wa't de oersetting foar elk oar netwurk op 'e masine ûnderhâldt, en dat is in grutter beslút as ien VPN-útsûndering.

De Automatic-modus dekt de VPN-pool al

Elke modus hat in eigen eigner. Automatic generearret regels foar de WAN-ynterfaces en befettet remote-access-VPN-netwurken ûnder syn boarnen. Hybrid hâldt dy generearre regels en lit jo hânmjittige derneist tafoegje. Manual stopet mei it generearjen fan eat, sadat elke oersetting op 'e firewall jo ferantwurdlikens wurdt, ynklusyf dy't jo net skreaun hawwe. In fjirde ynstelling skeakelet útgeande NAT hielendal út. In rige dy't hânskreaun liket, bewist neat oant jo witte hokker modus aktyf is.

Yn Automatic en Hybrid lit de side ek de generearre regels sjen. Lês se foardat jo konkludearje dat in VPN-pool gjin oersetting hat: sykje it netwurk fan 'e pool yn 'e boarne-kolom en de WAN-ynterface yn 'e ynterface-kolom.

Kies Hybrid allinnich foar in neisjoen útsûndering

In dokumintearre útsûndering is noch altyd mooglik as it útgongsbelied echt ferskilt. Stel jo in tsjinner foar dy't 10.90.0.0/24 útdielt, wêr't de firewall IPv4-ynternetútgong leverje moat en routing al WAN kiest. De ferwachte transformaasje is dat boarne 10.90.0.23 nei it WAN-adres oerskreaun wurdt. Kontrolearje oft in generearre regel dat al docht op dy útgong; sa net, dan behâldt Hybrid de automatyske dekking wylst jo neisjoene regel tafoege wurdt.

Brûk de echte VPN-pool as boarne, of in stipe alias dêrfoar, en kies nea in net-relatearre adres om't de namme fan 'e OpenVPN-instance yn in kieslist ûntbrekt. Foarkom in boarne fan any, dy't ek ferkear oerset dat de firewall sels makket.

Set de hiele firewall net nei Manual foar ien pool. Dat beslút weryndielt it ûnderhâld foar elk yntern netwurk en elke takomstige WAN-feroaring.

NAT kiest de útgong net

Routing kiest de útgongsynterface; in útgeande NAT-regel beskriuwt allinnich hoe't de boarne oerskreaun wurdt sadree't in pakket fuortgiet. In mapping foar WAN twingt in pakket dat routing earne oars hinne stjoerd hat net nei WAN, en dêrom kin NAT tafoegje in ferkearde rûte net reparearje. Ynspektearje ek tapaslike 1:1 NAT-ynfieringen en útsûnderingen, want folchoarder is wichtich en in nije rige wint net needsaaklik. En de útgeande side is net de filterside.

In oersette boarne is gjin tastimming om elk bestimming te berikken. Klanten hawwe noch altyd in rûte troch de tunnel nedich en in firewall-regel dy't har ferkear talit, en de keazen útgong hat in wurkjende weromwei nedich. Hâld LAN-only tagong apart fan ynternet-útgongstastimming.

Bewiis de transformaasje op in nije ferbining

Nei in goedkarde feroaring, testje mei in nije autorisearre ferbining ynstee fan in besteande opnij te brûken, want fêstige steaten hâlde har eardere transformaasje. Befêstigje it boarne-adres dat echt WAN ferlit en dat it antwurd troch deselde steat weromkomt. Spoelje net de hiele steattabel as earste stap; dat ferberget hokker regel de útkomst feroare. Skriuw de modus, de regel, de pool en de útgong yn it feroaringsticket.

Dit foarbyld dekt allinnich IPv4-útgong. It seit neat oer in IPv6-oersetting of filterbelied, en in ûntwerp dat ien nedich hat, moat dat apart oanjaan. It foltôge record listet it tastiene klantferkear, de ynterface dy't it draacht, en de reden wêrom't de boarne hielendal oerskreaun wurde moat.