NAT keluar pfSense: baca dulu aturan yang dihasilkan

Buka Firewall, lalu NAT, lalu Outbound, dan baca modenya sebelum menambahkan apa pun. Dalam mode Automatic, pfSense menghasilkan aturan untuk antarmuka WAN dan, di antaranya, untuk jaringan VPN akses jarak jauh, jadi kumpulan yang akan Anda tambahkan sering sudah tercakup. Tidak adanya baris yang ditulis tangan bukan bukti bahwa terjemahannya hilang. Urutan di bawah mencegah Anda mengubah seluruh firewall ke Manual hanya untuk satu kumpulan.

Mode menentukan siapa yang memelihara terjemahan untuk setiap jaringan lain di perangkat, dan itu keputusan yang lebih besar daripada satu pengecualian VPN.

Mode Automatic sudah mencakup kumpulan VPN

Setiap mode punya pemilik berbeda. Automatic menghasilkan aturan untuk antarmuka WAN dan memasukkan jaringan VPN akses jarak jauh ke dalam sumbernya. Hybrid mempertahankan aturan yang dihasilkan itu dan memungkinkan Anda menambahkan aturan manual di sampingnya. Manual berhenti menghasilkan apa pun, sehingga setiap terjemahan di firewall menjadi tanggung jawab Anda, termasuk yang tidak Anda tulis. Setelan keempat menonaktifkan NAT keluar sepenuhnya. Baris yang tampak ditulis tangan tidak membuktikan apa pun sampai Anda tahu mode mana yang aktif.

Dalam Automatic dan Hybrid halaman juga menampilkan aturan yang dihasilkan. Bacalah sebelum menyimpulkan bahwa kumpulan VPN tidak punya terjemahan: cari jaringan kumpulan itu di kolom sumber dan antarmuka WAN di kolom antarmuka.

Pilih Hybrid hanya untuk pengecualian yang sudah ditinjau

Pengecualian yang didokumentasikan masih mungkin dilakukan jika kebijakan keluar memang berbeda. Bayangkan server yang membagikan 10.90.0.0/24, tempat firewall harus menyediakan jalan keluar internet IPv4 dan perutean sudah memilih WAN. Transformasi yang diharapkan adalah sumber 10.90.0.23 ditulis ulang ke alamat WAN. Periksa apakah aturan yang dihasilkan sudah melakukannya di jalan keluar itu; jika tidak, Hybrid mempertahankan cakupan otomatis sambil menambahkan aturan yang Anda tinjau.

Gunakan kumpulan VPN yang sebenarnya sebagai sumber, atau alias yang didukung untuknya, dan jangan pernah memilih alamat yang tidak terkait hanya karena nama instans OpenVPN tidak ada di pemilih. Hindari sumber any, yang juga menerjemahkan lalu lintas yang dihasilkan firewall sendiri.

Jangan pindahkan seluruh firewall ke Manual demi satu kumpulan. Keputusan itu mengalihkan pemeliharaan untuk setiap jaringan internal dan setiap perubahan WAN di masa depan.

NAT tidak memilih jalan keluar

Perutean memilih antarmuka keluar; aturan NAT keluar hanya menjelaskan bagaimana sumber ditulis ulang setelah paket keluar. Pemetaan untuk WAN tidak memaksa paket yang dikirim perutean ke tempat lain untuk lewat WAN, itulah sebabnya menambahkan NAT tidak bisa memperbaiki rute yang salah. Periksa juga entri NAT 1:1 dan pengecualian yang berlaku, karena urutan penting dan baris baru belum tentu menang. Dan halaman keluar bukan halaman filter.

Sumber yang diterjemahkan bukan izin untuk mencapai setiap tujuan. Klien tetap membutuhkan rute melalui terowongan dan aturan firewall yang mengizinkan lalu lintasnya, dan jalan keluar yang dipilih membutuhkan jalur balik yang berfungsi. Pisahkan akses khusus LAN dari izin keluar internet.

Buktikan transformasinya pada koneksi baru

Setelah perubahan disetujui, ujilah dengan koneksi baru yang sah alih-alih menggunakan ulang koneksi yang ada, karena status yang sudah terbentuk mempertahankan transformasi sebelumnya. Pastikan alamat sumber yang benar-benar keluar dari WAN dan bahwa balasannya kembali melalui status yang sama. Jangan kosongkan seluruh tabel status sebagai langkah pertama; itu menyembunyikan aturan mana yang mengubah hasil. Catat mode, aturan, kumpulan, dan jalan keluar di tiket perubahan.

Contoh ini hanya mencakup jalan keluar IPv4. Tidak menjelaskan apa pun tentang terjemahan atau kebijakan penyaringan IPv6, dan desain yang membutuhkannya harus menyatakannya secara terpisah. Catatan akhir mencantumkan lalu lintas klien yang diizinkan, antarmuka yang membawanya, dan alasan sumbernya perlu ditulis ulang sama sekali.