NAT יוצא ב-pfSense: קראו קודם את הכללים שנוצרו

פתחו את Firewall, אחר כך NAT, אחר כך Outbound, וקראו את המצב לפני שמוסיפים משהו. במצב Automatic יוצר pfSense כללים עבור ממשקי ה-WAN וביניהם עבור רשתות VPN לגישה מרחוק, כך שהמאגר שאליו אתם עומדים להוסיף כבר מכוסה לרוב. היעדר שורה בכתב יד אינו הוכחה לכך שהתרגום חסר. הסדר הבא מונע מכם להעביר את כל חומת האש ל-Manual כדי לפתור מאגר אחד.

המצב קובע מי מתחזק את התרגום לכל רשת אחרת במכשיר, וזו החלטה גדולה יותר מחריגת VPN אחת.

מצב Automatic כבר מכסה את מאגר ה-VPN

לכל מצב יש בעלים נפרד. Automatic יוצר כללים עבור ממשקי ה-WAN ומכליל רשתות VPN לגישה מרחוק בין מקורותיו. Hybrid שומר על הכללים שנוצרו ומאפשר לכם להוסיף כללים ידניים לצידם. Manual מפסיק ליצור דבר, ולכן כל תרגום בחומת האש הופך לאחריותכם, כולל אלה שלא כתבתם. הגדרה רביעית מנטרלת לחלוטין את ה-NAT היוצא. שורה שנראית כתובה ביד אינה מוכיחה דבר עד שתדעו איזה מצב פעיל.

במצבים Automatic ו-Hybrid העמוד מציג גם את הכללים שנוצרו. קראו אותם לפני שאתם מסיקים שלמאגר VPN אין תרגום: חפשו את רשת המאגר בעמודת המקור ואת ממשק ה-WAN בעמודת הממשק.

בחרו ב-Hybrid רק עבור חריגה שנבדקה

חריגה מתועדת עדיין אפשרית כאשר מדיניות היציאה שונה באמת. דמיינו שרת שמחלק 10.90.0.0/24, שבו חומת האש אמורה לספק יציאה לאינטרנט ב-IPv4 והניתוב כבר בוחר ב-WAN. התמורה הצפויה היא שהמקור 10.90.0.23 ייכתב מחדש לכתובת ה-WAN. בדקו אם כלל שנוצר כבר עושה זאת באותה יציאה; אם לא, Hybrid שומר על הכיסוי האוטומטי ומוסיף את הכלל שבדקתם.

השתמשו במאגר ה-VPN האמיתי כמקור, או בכינוי נתמך עבורו, ואל תבחרו לעולם כתובת לא קשורה רק מפני ששם המופע של OpenVPN חסר בבורר. הימנעו ממקור any, שגם מתרגם תעבורה שחומת האש עצמה מייצרת.

אל תעבירו את כל חומת האש ל-Manual בגלל מאגר אחד. ההחלטה הזו מקצה מחדש את התחזוקה לכל רשת פנימית ולכל שינוי WAN עתידי.

NAT אינו בוחר את היציאה

הניתוב בוחר את ממשק היציאה; כלל NAT יוצא מתאר רק כיצד המקור נכתב מחדש לאחר שהחבילה יוצאת. מיפוי עבור WAN אינו כופה חבילה שהניתוב שלח למקום אחר לעבור ב-WAN, ולכן הוספת NAT אינה יכולה לתקן מסלול שגוי. בדקו גם ערכי NAT 1:1 וחריגות רלוונטיים, כי הסדר חשוב ושורה חדשה לא בהכרח מנצחת. ועמוד היציאה אינו עמוד הסינון.

מקור מתורגם אינו הרשאה להגיע לכל יעד. לקוחות עדיין זקוקים למסלול דרך המנהרה ולכלל חומת אש שמתיר את התעבורה שלהם, והיציאה הנבחרת זקוקה למסלול חזרה עובד. הפרידו גישה ל-LAN בלבד מהרשאת יציאה לאינטרנט.

הוכיחו את התמורה בחיבור חדש

לאחר שינוי מאושר, בדקו בחיבור מורשה חדש במקום לעשות שימוש חוזר בקיים, מפני שמצבים מבוססים שומרים על התמורה הקודמת שלהם. אשרו את כתובת המקור שיוצאת בפועל מה-WAN ושהתשובה חוזרת דרך אותו מצב. אל תרוקנו את כל טבלת המצבים כצעד ראשון; זה מסתיר איזה כלל שינה את התוצאה. רשמו את המצב, הכלל, המאגר והיציאה בכרטיס השינוי.

דוגמה זו מכסה יציאת IPv4 בלבד. היא אינה אומרת דבר על תרגום או מדיניות סינון של IPv6, ותכנון שזקוק לאחד מהם חייב לציין זאת בנפרד. הרשומה המוגמרת מפרטת את תעבורת הלקוחות המותרת, את הממשק שנושא אותה, ואת הסיבה שבגללה יש לכתוב את המקור מחדש מלכתחילה.