Un usuario de VPN necesita unha impresora, non toda a LAN

A regra parece correcta e a impresora segue negándose. Ou a impresora funciona e o mesmo usuario tamén chega ao servidor de ficheiros, o que é peor. Ambos os resultados adoitan vir do mesmo sitio: a regra estreita engadiuse a un conxunto de regras que xa permitía algo máis amplo. Ler a orde efectiva explica o resultado antes de que se escriba ningunha regra nova.

O síntoma: a regra estreita non cambiou nada

Un pool de VPN dedicado, un enderezo de impresora e unha regra de paso en TCP 631 é un deseño razoable. Cando non produce ningún cambio, a primeira sospeita debería ser que o tráfico nunca chegou a esa regra. Unha regra só decide para o tráfico que chega á súa posición na orde de avaliación. Os campos son fáciles de comprobar e raramente son a causa do fallo.

O síntoma oposto é máis fácil de pasar por alto. O traballo de impresión sae ben, e tamén unha conexión a un recurso compartido ao que este usuario nunca debía chegar. Iso significa que algo anterior xa permitiu a LAN.

Ambos os síntomas apuntan á orde e non aos campos da regra nova. Un é unha regra que nunca coincidiu, e o outro é unha regra que coincidiu demasiado pronto.

A que conxunto de regras chega realmente o tráfico

pfSense avalía as regras por interface, e OpenVPN ten a súa propia pestana cuxas regras se aplican a cada instancia de servidor e cliente. Esas regras procésanse antes que as asignadas a unha interface OpenVPN concreta. Por iso un paso amplo deixado na pestana de OpenVPN tamén se aplica a este usuario, diga o que diga a pestana da interface. Copie esa orde no rexistro do cambio para que a revisión poida comprobala sen abrir a GUI.

Por iso un paso estreito novo non pode restar acceso. As regras do cortalumes engaden permiso e non o quitan dunha coincidencia anterior.

Lea a lista efectiva desde arriba e detéñase na primeira regra que coincida co tráfico. Esa primeira coincidencia é a decisión, e todo o que hai debaixo é inalcanzable para ese fluxo.

Escriba a regra de paso desde o traballo de impresión

Empece polo traballo e non pola impresora. O usuario necesita o servizo de impresión no enderezo da impresora, así que a regra nomea ese enderezo, ese protocolo e ese porto. Un alias para o pool de VPN e un alias para a impresora manteñen a regra lexible.

Resista a tentación de engadir portos de descuberta ou administración para contentar a un asistente. Unha regra que admite toda a impresora é unha política distinta dunha que admite unha cola de impresión.

Manteña a autenticación propia da impresora. Un permiso de rede non a substitúe. Unha conta a nivel de cola é o control correcto de quen pode imprimir que.

Seis valores levan toda a intención: paso como acción, IPv4 como familia, TCP como protocolo, o alias do pool como orixe, o alias da impresora como destino e 631 como porto. Calquera cousa máis alá deses seis é unha política distinta da solicitada.

Dea ao cliente un camiño sen permiso para a LAN

O cliente necesita unha ruta ao enderezo da impresora, e o lado da oficina necesita un camiño de resposta ao pool de VPN. Enviar un só /32 mantén a configuración do cliente estreita, o que axuda a diagnosticar. Non é a fronteira de autorización, porque un cliente pode engadir rutas el mesmo.

Se a cola se direcciona por nome, defina a dependencia do resolvedor por separado. Permitir toda a LAN para que se resolva un só nome é un cambio moito maior do que esixe o traballo.

Escolla deliberadamente entre encamiñar de volta ao pool e traducir a orixe. Ambas funcionan, e cada unha oculta algo distinto dos rexistros.

Probe a denegación e tamén o traballo

Envíe un traballo pequeno e non sensible desde o usuario de VPN, despois probe un recurso da LAN que debería ser denegado e a propia páxina de administración do cortalumes. As tres probas pertencen á mesma sesión, porque é a única forma de ver a política en conxunto. Un traballo de impresión correcto por si só non demostra case nada sobre a fronteira.

Revise IPv6 e calquera outra ruta VPN activa antes de cualificar o despregamento de só impresora. Un conxunto de regras estreito nunha familia de enderezos pode estar completamente aberto na outra.