VPN օգտատիրոջը պետք է մեկ տպիչ, ոչ ամբողջ LAN-ը

Կանոնը ճիշտ է թվում, և տպիչը դեռ մերժում է։ Կամ տպիչն աշխատում է, և նույն օգտատերը հասնում է նաև ֆայլային սերվերին, ինչն ավելի վատ է։ Երկու արդյունքներն էլ սովորաբար գալիս են նույն տեղից՝ նեղ կանոնը ավելացվել է կանոնների հավաքածուին, որն արդեն թույլատրում էր ավելի լայն բան։ Փաստացի հերթականությունը կարդալը բացատրում է արդյունքը նախքան նոր կանոն գրելը։

Ախտանիշը՝ նեղ կանոնը ոչինչ չփոխեց

Նվիրված VPN լողավազան, մեկ տպիչի հասցե և TCP 631-ի վրա թույլատրող կանոն ողջամիտ լուծում է։ Երբ այն ընդհանրապես փոփոխություն չի տալիս, առաջին կասկածը պետք է լինի, որ երթևեկությունը երբեք չի հասել այդ կանոնին։ Կանոնը որոշում է միայն այն երթևեկության համար, որը հասնում է իր դիրքին գնահատման հերթականությունում։ Դաշտերը հեշտ է ստուգել, և դրանք հազվադեպ են ձախողման պատճառը։

Հակառակ ախտանիշը ավելի հեշտ է բաց թողնել։ Տպման աշխատանքը հաջողվում է, և նաև կապը ֆայլերի փոխանակմանը, որին այս օգտատերը երբեք չպետք է հասներ։ Դա նշանակում է, որ ավելի վաղ ինչ-որ բան արդեն թույլատրել էր LAN-ը։

Երկու ախտանիշներն էլ մատնանշում են հերթականությանը, ոչ թե նոր կանոնի դաշտերին։ Դրանցից մեկը կանոն է, որը երբեք չհամընկավ, մյուսը՝ կանոն, որը համընկավ շատ շուտ։

Թե երթևեկությունը որ կանոնների հավաքածուին է իրականում հանդիպում

pfSense-ը կանոնները գնահատում է ըստ ինտերֆեյսի, իսկ OpenVPN-ն ունի իր ներդիրը, որի կանոնները գործում են յուրաքանչյուր սերվերի և հաճախորդի օրինակի համար։ Այդ կանոնները մշակվում են կոնկրետ OpenVPN ինտերֆեյսին հատկացված կանոններից առաջ։ Ուստի OpenVPN ներդիրում թողնված լայն թույլտվությունը գործում է նաև այս օգտատիրոջ համար, ինչ էլ ասի ինտերֆեյսի ներդիրը։ Պատճենեք այդ հերթականությունը փոփոխության գրառման մեջ, որպեսզի վերանայումը կարողանա ստուգել այն առանց GUI-ն բացելու։

Այդ պատճառով նոր նեղ թույլտվությունը չի կարող վերցնել հասանելիությունը։ Հրդեպատի կանոնները ավելացնում են թույլտվություն և այն չեն վերցնում ավելի վաղ համընկնումից։

Կարդացեք փաստացի ցանկը վերևից և կանգ առեք առաջին կանոնի վրա, որը համընկնում է երթևեկության հետ։ Այդ առաջին համընկնումը որոշումն է, և նրանից ներքև ամեն ինչ անհասանելի է այդ հոսքի համար։

Գրեք թույլատրող կանոնը տպման աշխատանքից

Սկսեք աշխատանքից, ոչ թե տպիչից։ Օգտատիրոջը պետք է տպման ծառայությունը տպիչի հասցեում, ուստի կանոնը նշում է այդ հասցեն, այդ արձանագրությունը և այդ պորտը։ VPN լողավազանի այլանունը և տպիչի այլանունը կանոնը պահում են ընթեռնելի։

Դիմացե՛ք հայտնաբերման կամ կառավարման պորտեր ավելացնելու գայթակղությանը՝ կախարդին ավելի գոհ դարձնելու համար։ Կանոնը, որը թույլ է տալիս ամբողջ տպիչը, այլ քաղաքականություն է, քան այն, որը թույլ է տալիս տպման հերթը։

Պահեք տպիչի սեփական նույնականացումը տեղում։ Ցանցային թույլտվությունը դրա փոխարինողը չէ։ Հերթի մակարդակի հաշիվը ճիշտ վերահսկողությունն է այն բանի, թե ով ինչ կարող է տպել։

Վեց արժեք կրում են ամբողջ մտադրությունը՝ թույլտվություն որպես գործողություն, IPv4 որպես ընտանիք, TCP որպես արձանագրություն, լողավազանի այլանունը որպես աղբյուր, տպիչի այլանունը որպես նպատակակետ և 631-ը որպես պորտ։ Այս վեցից այն կողմ ամեն ինչ այլ քաղաքականություն է, քան պահանջվածը։

Տվեք հաճախորդին ուղի առանց LAN-ի թույլտվության

Հաճախորդին պետք է երթուղի դեպի տպիչի հասցեն, իսկ գրասենյակի կողմին՝ պատասխանի ուղի դեպի VPN լողավազան։ Մեկ /32 ուղարկելը հաճախորդի կարգավորումը պահում է նեղ, ինչը օգնում է խնդիրների ախտորոշմանը։ Սա լիազորման սահմանը չէ, որովհետև հաճախորդն ինքը կարող է երթուղիներ ավելացնել։

Եթե հերթը հասցեագրվում է անունով, լուծիչից կախվածությունը սահմանեք առանձին։ Ամբողջ LAN-ը թույլատրելը, որպեսզի մեկ անուն լուծվի, շատ ավելի մեծ փոփոխություն է, քան պահանջում է աշխատանքը։

Գիտակցաբար ընտրեք լողավազան վերադարձնող երթուղավորման և աղբյուրի թարգմանության միջև։ Երկուսն էլ աշխատում են, և յուրաքանչյուրը տարբեր բան է թաքցնում մատյաններից։

Փորձարկեք և՛ մերժումը, և՛ աշխատանքը

Ուղարկեք մեկ փոքր, ոչ զգայուն աշխատանք VPN օգտատիրոջից, ապա փորձեք LAN-ի ռեսուրս, որը պետք է մերժվի, և հրդեպատի սեփական կառավարման էջը։ Բոլոր երեք թեստերը պատկանում են նույն նստաշրջանին, որովհետև դա է քաղաքականությունն ամբողջությամբ տեսնելու միակ միջոցը։ Մեկ հաջող տպման աշխատանք ինքնին սահմանի մասին գրեթե ոչինչ չի ապացուցում։

Վերանայեք IPv6-ը և ցանկացած այլ ակտիվ VPN ուղի նախքան տեղադրումը միայն-տպիչ անվանելը։ Մեկ հասցեների ընտանիքում նեղ կանոնների հավաքածուն կարող է ամբողջովին բաց լինել մյուսում։