In VPN-brûker hat ien printer nedich, net it hiele LAN

De regel liket goed en de printer wegert noch altyd. Of de printer wurket en deselde brûker berikt ek de triemtsjinner, wat slimmer is. Beide útkomsten komme meastentiids fan itselde plak: de smelle regel is tafoege oan in regelset dat al wat breder tastean liet. It lêzen fan de effektive oarder ferklearret it resultaat foardat ien nije regel skreaun wurdt.

It symptoom: de smelle regel feroare neat

In tawijde VPN-pool, ien printeradres en in tastimmingregel op TCP 631 is in ridlik ûntwerp. As it hielendal gjin feroaring bringt, moat it earste fermoeden wêze dat it ferkear dy regel nea berikt hat. In regel beslút allinnich oer ferkear dat op syn posysje yn de beoardielingsfolchoarder oankomt. De fjilden binne maklik te kontrolearjen en binne selden de reden fan it mislearjen.

It tsjinoerstelde symptoom is makliker te missen. De printopdracht slagget, en dat docht ek in ferbining nei in triemdieling dy't dizze brûker nea berikke meie soe. Dat betsjut dat eat earders it LAN al tastien hie.

Beide symptomen wize op de oarder en net op de fjilden fan de nije regel. Ien fan harren is in regel dy't nea oerienkaam, en de oare is in regel dy't te betiid oerienkaam.

Hokker regelset it ferkear eins rekket

pfSense beoardielet regels per ynterface, en OpenVPN hat syn eigen ljepblêd wêrfan de regels foar elke tsjinner- en klantynstânsje jilde. Dy regels wurde ferwurke foar de regels dy't oan in spesifike OpenVPN-ynterface tawiisd binne. In brede tastimming dy't op it OpenVPN-ljepblêd bliuwt, jildt dêrom ek foar dizze brûker, wat it ynterface-ljepblêd ek seit. Kopiearje dy oarder yn it feroaringsrekord sadat de beoardieling it kontrolearje kin sûnder de GUI te iepenjen.

Dêrom kin in nije smelle tastimming gjin tagong ôfnimme. Fjoerwalsregels foegje tastimming ta en nimme dy net fan in eardere oerienkomst ôf.

Lês de effektive list fan boppe en stop by de earste regel dy't by it ferkear past. Dy earste oerienkomst is it beslút, en alles dêrûnder is ûnberikber foar dy stream.

Skriuw de tastimmingregel út de printopdracht

Begjin by de opdracht en net by de printer. De brûker hat de printtsjinst op it printeradres nedich, dus de regel neamt dat adres, dat protokoll en dy poarte. In alias foar de VPN-pool en in alias foar de printer hâlde de regel lêsber.

Wjerstean de oanstriid om ûntdekkings- of behearspoarten ta te foegjen om in tsjoender lokkiger te meitsjen. In regel dy't de hiele printer talit, is in oar belied as ien dy't in printrige talit.

Hâld de eigen autentikaasje fan de printer yn plak. In netwurktastimming ferfangt dy net. In akkount op rigenivo is de goede kontrôle oer wa't wat printsje mei.

Seis wearden drage de hiele bedoeling: tastimming as aksje, IPv4 as famylje, TCP as protokoll, it poolalias as boarne, it printeralias as bestimming en 631 as poarte. Alles bûten dy seis is in oar belied as it frege.

Jou de klant in paad sûnder LAN-tastimming

De klant hat in rûte nei it printeradres nedich, en de kantoarkant hat in antwurdpaad nei de VPN-pool nedich. In inkeld /32 pushe hâldt de klantkonfiguraasje smel, wat by it oplossen fan problemen helpt. It is net de autorisaasjegrins, want in klant kin sels rûtes tafoegje.

As de rige by namme adressearre wurdt, definiearje de resolver-ôfhinklikheid apart. It hiele LAN tastean sadat ien namme oplost wurdt, is in folle gruttere feroaring as de opdracht freget.

Kies bewust tusken weromrûte nei de pool en it oersetten fan de boarne. Beide wurkje, en elk ferberget eat oars foar de logboeken.

Test sawol de wegering as de opdracht

Stjoer ien lytse, net-gefoelige opdracht fan de VPN-brûker, besykje dan in LAN-bron dy't wegerd wurde moat en de eigen behearside fan de fjoerwal. Alle trije tests hearre by deselde sesje, want dat is de iennige manier om it belied as gehiel te sjen. In slagge printopdracht allinnich bewissiget hast neat oer de grins.

Beoardielje IPv6 en elk oar aktyf VPN-paad foardat jo de útrôl allinnich-printer neame. In regelset dat yn ien adresfamylje smel is, kin yn de oare hielendal iepen wêze.