pfSense kimenő NAT: először olvassa el a generált szabályokat

Nyissa meg a Firewall, majd a NAT, majd az Outbound menüpontot, és olvassa el a módot, mielőtt bármit hozzáadna. Automatic módban a pfSense szabályokat generál a WAN-interfészekhez, és ezek között a távoli hozzáférésű VPN-hálózatokhoz is, így a hozzáadni kívánt pool gyakran már lefedett. Egy hiányzó kézzel írt sor nem bizonyítja, hogy hiányzik a fordítás. Az alábbi sorrend megakadályozza, hogy egyetlen pool miatt az egész tűzfalat Manual módba állítsa.

A mód dönti el, ki tartja karban a fordítást a gépen lévő összes többi hálózathoz, és ez nagyobb döntés egyetlen VPN-kivételnél.

Az Automatic mód már lefedi a VPN-poolt

Minden módnak más a felelőse. Az Automatic szabályokat generál a WAN-interfészekhez, és forrásai közé sorolja a távoli hozzáférésű VPN-hálózatokat. A Hybrid megtartja ezeket a generált szabályokat, és lehetővé teszi, hogy melléjük kézi szabályokat adjon. A Manual semmit sem generál, így a tűzfalon minden fordítás az Ön felelőssége lesz, azok is, amelyeket nem Ön írt. Egy negyedik beállítás teljesen kikapcsolja a kimenő NAT-ot. Egy kézzel írtnak látszó sor semmit sem bizonyít, amíg nem tudja, melyik mód aktív.

Automatic és Hybrid módban az oldal a generált szabályokat is megjeleníti. Olvassa el őket, mielőtt arra a következtetésre jutna, hogy egy VPN-poolnak nincs fordítása: keresse a pool hálózatát a forrás oszlopban, és a WAN-interfészt az interfész oszlopban.

A Hybrid-et csak ellenőrzött kivételhez válassza

Dokumentált kivétel továbbra is lehetséges, ha a kimenő irányelv valóban eltér. Képzeljen el egy szervert, amely 10.90.0.0/24-et oszt ki, ahol a tűzfalnak IPv4-internetkimenetet kell biztosítania, és az útválasztás már a WAN-t választja. A várt átalakítás az, hogy a 10.90.0.23 forrás a WAN-címre íródik át. Ellenőrizze, hogy egy generált szabály már megteszi-e ezt azon a kimeneten; ha nem, a Hybrid megőrzi az automatikus lefedettséget, és hozzáadja az ellenőrzött szabályát.

Forrásként a tényleges VPN-poolt használja, vagy egy támogatott aliast hozzá, és soha ne válasszon kapcsolat nélküli címet csak azért, mert az OpenVPN-példány neve hiányzik egy választóból. Kerülje az any forrást, amely a tűzfal által maga létrehozott forgalmat is fordítja.

Ne állítsa az egész tűzfalat Manual módba egyetlen pool miatt. Ez a döntés minden belső hálózat és minden jövőbeli WAN-változás karbantartását újraosztja.

A NAT nem választja ki a kimenetet

Az útválasztás választja ki a kimenő interfészt; a kimenő NAT-szabály csak azt írja le, hogyan íródik át a forrás, miután a csomag elhagyta a rendszert. A WAN-hoz tartozó leképezés nem kényszeríti a WAN-ra azt a csomagot, amelyet az útválasztás máshová küldött, ezért a NAT hozzáadása nem tudja kijavítani a rossz útvonalat. Vizsgálja meg az alkalmazandó 1:1 NAT-bejegyzéseket és kivételeket is, mert a sorrend számít, és az új sor nem feltétlenül nyer. És a kimenő oldal nem a szűrőoldal.

Egy lefordított forrás nem jelent engedélyt minden cél elérésére. Az ügyfeleknek továbbra is szükségük van útvonalra az alagúton át és egy tűzfalszabályra, amely beengedi a forgalmukat, a kiválasztott kimenetnek pedig működő visszaútra van szüksége. A csak LAN-hozzáférést tartsa elkülönítve az internetkimenet engedélyétől.

Bizonyítsa az átalakítást új kapcsolaton

Jóváhagyott változtatás után új engedélyezett kapcsolattal teszteljen a meglévő újrafelhasználása helyett, mert a létrejött állapotok megtartják korábbi átalakításukat. Erősítse meg a WAN-t ténylegesen elhagyó forráscímet, és hogy a válasz ugyanazon az állapoton keresztül tér vissza. Ne ürítse ki a teljes állapottáblát első lépésként; ez elrejti, melyik szabály változtatta meg az eredményt. Jegyezze fel a módot, a szabályt, a poolt és a kimenetet a változási jegyben.

Ez a példa csak az IPv4-kimenetet fedi le. Nem mond semmit az IPv6 átalakításáról vagy szűrési irányelvéről, és az olyan tervnek, amelynek ilyenre szüksége van, külön kell megadnia. A kész feljegyzés felsorolja az engedélyezett ügyfélforgalmat, az azt szállító interfészt, és az okot, amiért a forrást egyáltalán át kell írni.