VPN उपयोगकर्ता को एक प्रिंटर चाहिए, पूरा LAN नहीं

नियम सही दिखता है और प्रिंटर फिर भी मना कर देता है। या प्रिंटर काम करता है और वही उपयोगकर्ता फ़ाइल सर्वर तक भी पहुँच जाता है, जो और बुरा है। दोनों नतीजे आम तौर पर एक ही जगह से आते हैं: संकीर्ण नियम ऐसे नियम-समूह में जोड़ा गया जो पहले से कुछ अधिक व्यापक अनुमति देता था। प्रभावी क्रम पढ़ने से कोई नया नियम लिखे जाने से पहले परिणाम समझ आ जाता है।

लक्षण: संकीर्ण नियम ने कुछ नहीं बदला

एक समर्पित VPN पूल, एक प्रिंटर पता और TCP 631 पर पास नियम उचित रचना है। जब इससे कोई बदलाव नहीं होता, तो पहला संदेह यह होना चाहिए कि ट्रैफ़िक कभी उस नियम तक पहुँचा ही नहीं। नियम केवल उस ट्रैफ़िक के लिए निर्णय लेता है जो मूल्यांकन क्रम में उसकी स्थिति तक पहुँचता है। फ़ील्ड जाँचना आसान है और विफलता का कारण वे विरले ही होते हैं।

विपरीत लक्षण चूक जाना आसान है। प्रिंट कार्य सफल होता है, और उसी उपयोगकर्ता को किसी ऐसे फ़ाइल शेयर से जुड़ाव भी सफल होता है जहाँ उसे कभी नहीं पहुँचना था। इसका मतलब है कि पहले कुछ LAN की अनुमति दे चुका था।

दोनों लक्षण नए नियम के फ़ील्ड की नहीं, क्रम की ओर संकेत करते हैं। इनमें एक ऐसा नियम है जो कभी मेल नहीं खाया, और दूसरा ऐसा नियम है जो बहुत जल्दी मेल खा गया।

ट्रैफ़िक वास्तव में किस नियम-समूह से टकराता है

pfSense हर इंटरफ़ेस के लिए नियमों का मूल्यांकन करता है, और OpenVPN का अपना टैब है जिसके नियम हर सर्वर और क्लाइंट इंस्टेंस पर लागू होते हैं। वे नियम किसी विशेष OpenVPN इंटरफ़ेस को सौंपे गए नियमों से पहले संसाधित होते हैं। इसलिए OpenVPN टैब पर छोड़ा गया व्यापक पास इंटरफ़ेस टैब कुछ भी कहे, इस उपयोगकर्ता पर भी लागू होता है। उस क्रम को परिवर्तन रिकॉर्ड में कॉपी करें ताकि समीक्षा GUI खोले बिना उसे जाँच सके।

इसीलिए नया संकीर्ण पास पहुँच नहीं छीन सकता। फ़ायरवॉल नियम अनुमति जोड़ते हैं और उसे किसी पहले के मेल से नहीं लेते।

प्रभावी सूची ऊपर से पढ़ें और ट्रैफ़िक से मेल खाने वाले पहले नियम पर रुकें। वही पहला मेल निर्णय है, और उसके नीचे का सब कुछ उस प्रवाह के लिए अगम्य है।

पास नियम प्रिंट कार्य से लिखें

प्रिंटर से नहीं, कार्य से शुरू करें। उपयोगकर्ता को प्रिंटर पते पर प्रिंट सेवा चाहिए, इसलिए नियम उस पते, उस प्रोटोकॉल और उस पोर्ट का नाम लेता है। VPN पूल के लिए उपनाम और प्रिंटर के लिए उपनाम नियम को पठनीय रखते हैं।

विज़ार्ड को खुश करने के लिए डिस्कवरी या प्रशासन पोर्ट जोड़ने की प्रवृत्ति का विरोध करें। पूरा प्रिंटर स्वीकारने वाला नियम प्रिंट कतार स्वीकारने वाले नियम से भिन्न नीति है।

प्रिंटर का अपना प्रमाणीकरण यथास्थान रखें। नेटवर्क अनुमति उसका विकल्प नहीं है। कतार-स्तरीय खाता यह तय करने का सही नियंत्रण है कि कौन क्या प्रिंट कर सकता है।

छह मान पूरा आशय वहन करते हैं: क्रिया के रूप में पास, परिवार के रूप में IPv4, प्रोटोकॉल के रूप में TCP, स्रोत के रूप में पूल उपनाम, गंतव्य के रूप में प्रिंटर उपनाम और पोर्ट के रूप में 631। इन छह से आगे का कुछ भी माँगी गई नीति से भिन्न नीति है।

क्लाइंट को LAN अनुमति के बिना राह दें

क्लाइंट को प्रिंटर पते तक रूट चाहिए, और कार्यालय पक्ष को VPN पूल तक उत्तर पथ चाहिए। एक ही /32 पुश करने से क्लाइंट कॉन्फ़िगरेशन संकीर्ण रहता है, जो समस्या-निवारण में मदद करता है। यह प्राधिकरण की सीमा नहीं है, क्योंकि क्लाइंट स्वयं रूट जोड़ सकता है।

यदि कतार को नाम से संबोधित किया जाता है, तो रिज़ॉल्वर निर्भरता अलग से परिभाषित करें। एक नाम हल करने के लिए पूरे LAN की अनुमति देना कार्य की आवश्यकता से बहुत बड़ा परिवर्तन है।

पूल की ओर वापस रूटिंग और स्रोत के अनुवाद के बीच सचेत रूप से चुनें। दोनों काम करते हैं, और हर एक लॉग से कुछ अलग छिपाता है।

कार्य के साथ-साथ अस्वीकृति भी जाँचें

VPN उपयोगकर्ता से एक छोटा, गैर-संवेदनशील कार्य भेजें, फिर ऐसे LAN संसाधन का प्रयास करें जिसे अस्वीकार होना चाहिए और फ़ायरवॉल के अपने प्रशासन पृष्ठ का। तीनों परीक्षण एक ही सत्र के हैं, क्योंकि नीति को समग्र रूप से देखने का यही एकमात्र तरीका है। केवल सफल प्रिंट कार्य सीमा के बारे में लगभग कुछ भी सिद्ध नहीं करता।

तैनाती को केवल-प्रिंटर कहने से पहले IPv6 और किसी भी अन्य सक्रिय VPN पथ की समीक्षा करें। एक पता परिवार में संकीर्ण नियम-समूह दूसरे में पूरी तरह खुला हो सकता है।