Egy VPN-felhasználónak egy nyomtató kell, nem az egész LAN

A szabály helyesnek tűnik, és a nyomtató továbbra is elutasít. Vagy a nyomtató működik, és ugyanaz a felhasználó a fájlszervert is eléri, ami rosszabb. Mindkét eredmény általában ugyanabból a forrásból jön: a szűk szabályt olyan szabálykészlethez adták, amely már valami szélesebbet engedélyezett. A tényleges sorrend olvasása megmagyarázza az eredményt, mielőtt bármilyen új szabály megíródna.

A tünet: a szűk szabály semmit sem változtatott

Egy dedikált VPN-készlet, egy nyomtatócím és egy TCP 631-es engedélyező szabály ésszerű kialakítás. Amikor semmilyen változást nem hoz, az első gyanúnak annak kell lennie, hogy a forgalom soha nem érte el ezt a szabályt. Egy szabály csak arról a forgalomról dönt, amely eléri a helyét az értékelési sorrendben. A mezők könnyen ellenőrizhetők, és ritkán okozzák a hibát.

Az ellenkező tünetet könnyebb elkerülni. A nyomtatási feladat sikerül, és egy olyan fájlmegosztás felé irányuló kapcsolat is, amelyet ez a felhasználó soha nem érhetett volna el. Ez azt jelenti, hogy valami korábbi már engedélyezte a LAN-t.

Mindkét tünet a sorrendre mutat, nem az új szabály mezőire. Az egyik egy szabály, amely soha nem egyezett, a másik pedig egy szabály, amely túl korán egyezett.

Melyik szabálykészletet éri el a forgalom valójában

A pfSense interfészenként értékeli a szabályokat, az OpenVPN-nek pedig saját lapja van, amelynek szabályai minden kiszolgáló- és klienspéldányra érvényesek. Ezeket a szabályokat az adott OpenVPN-interfészhez rendelt szabályok előtt dolgozza fel a rendszer. Ezért az OpenVPN lapon hagyott széles engedélyezés erre a felhasználóra is vonatkozik, bármit mond az interfész lapja. Másolja ezt a sorrendet a változásjegyzőkönyvbe, hogy az ellenőrzés a GUI megnyitása nélkül is megnézhesse.

Ezért egy új szűk engedélyezés nem vehet el hozzáférést. A tűzfal-szabályok engedélyt adnak hozzá, és nem veszik el egy korábbi egyezéstől.

Olvassa a tényleges listát felülről, és álljon meg az első szabálynál, amely egyezik a forgalommal. Az az első egyezés a döntés, és minden, ami alatta van, elérhetetlen annak a folyamnak.

Írja meg az engedélyező szabályt a nyomtatási feladatból

A feladatból induljon ki, ne a nyomtatóból. A felhasználónak a nyomtatási szolgáltatásra van szüksége a nyomtató címén, ezért a szabály megnevezi ezt a címet, ezt a protokollt és ezt a portot. Egy alias a VPN-készlethez és egy alias a nyomtatóhoz olvashatóvá teszi a szabályt.

Álljon ellen a felderítési vagy felügyeleti portok hozzáadásának, hogy egy varázsló boldogabb legyen. Az a szabály, amely az egész nyomtatót beengedi, más szabályzat, mint amelyik egy nyomtatási sort enged be.

Tartsa meg a nyomtató saját hitelesítését. A hálózati engedély nem helyettesíti. A sorszintű fiók a megfelelő ellenőrzés arra, ki mit nyomtathat.

Hat érték hordozza a teljes szándékot: engedélyezés műveletként, IPv4 családként, TCP protokollként, a készlet aliasa forrásként, a nyomtató aliasa célként és a 631 portként. Bármi e haton túl más szabályzat, mint a kért.

Adjon a kliensnek útvonalat LAN-engedély nélkül

A kliensnek útvonalra van szüksége a nyomtató címéhez, az irodai oldalnak pedig válaszútra a VPN-készlethez. Egyetlen /32 küldése szűken tartja a kliens konfigurációját, ami segíti a hibakeresést. Ez nem az engedélyezési határ, mert a kliens maga is adhat hozzá útvonalakat.

Ha a sort névvel címezik, a feloldófüggőséget külön határozza meg. Az egész LAN engedélyezése egyetlen név feloldásához sokkal nagyobb változás, mint amit a feladat igényel.

Válasszon tudatosan a készlethez visszirányítás és a forrás fordítása között. Mindkettő működik, és mindegyik mást rejt el a naplók elől.

Tesztelje az elutasítást éppúgy, mint a feladatot

Küldjön egy kis, nem érzékeny feladatot a VPN-felhasználótól, majd próbáljon ki egy LAN-erőforrást, amelyet el kellene utasítani, és a tűzfal saját felügyeleti oldalát. Mindhárom teszt ugyanahhoz a munkamenethez tartozik, mert csak így látszik a szabályzat egészében. Egy sikeres nyomtatási feladat önmagában szinte semmit sem bizonyít a határról.

Tekintse át az IPv6-ot és minden más aktív VPN-útvonalat, mielőtt a telepítést csak-nyomtatónak nevezné. Egy címcsaládban szűk szabálykészlet a másikban teljesen nyitott lehet.