Pengguna VPN butuh satu printer, bukan seluruh LAN

Aturannya terlihat benar dan printer tetap menolak. Atau printer berfungsi dan pengguna yang sama juga bisa mencapai server berkas, yang lebih buruk. Kedua hasil biasanya berasal dari tempat yang sama: aturan sempit ditambahkan ke kumpulan aturan yang sudah mengizinkan sesuatu yang lebih luas. Membaca urutan yang berlaku menjelaskan hasilnya sebelum aturan baru ditulis.

Gejalanya: aturan sempit tidak mengubah apa pun

Kumpulan VPN khusus, satu alamat printer, dan aturan izin pada TCP 631 adalah rancangan yang wajar. Ketika sama sekali tidak menghasilkan perubahan, kecurigaan pertama seharusnya adalah lalu lintas tidak pernah mencapai aturan itu. Aturan hanya memutuskan untuk lalu lintas yang tiba pada posisinya dalam urutan evaluasi. Kolomnya mudah diperiksa dan jarang menjadi penyebab kegagalan.

Gejala sebaliknya lebih mudah terlewat. Pekerjaan cetak berhasil, begitu juga koneksi ke berbagi berkas yang seharusnya tidak boleh dicapai pengguna ini. Itu berarti sesuatu yang lebih awal sudah mengizinkan LAN.

Kedua gejala menunjuk pada urutan, bukan pada kolom aturan baru. Salah satunya aturan yang tidak pernah cocok, dan yang lain aturan yang cocok terlalu dini.

Kumpulan aturan mana yang sebenarnya kena lalu lintas

pfSense mengevaluasi aturan per antarmuka, dan OpenVPN punya tab sendiri yang aturannya berlaku untuk setiap instans server dan klien. Aturan itu diproses sebelum aturan yang ditetapkan pada antarmuka OpenVPN tertentu. Karena itu izin luas yang tertinggal di tab OpenVPN juga berlaku untuk pengguna ini, apa pun kata tab antarmuka. Salin urutan itu ke catatan perubahan agar peninjauan dapat memeriksanya tanpa membuka GUI.

Itulah sebabnya izin sempit baru tidak dapat mengurangi akses. Aturan firewall menambah izin dan tidak mengambilnya dari kecocokan sebelumnya.

Baca daftar yang berlaku dari atas dan berhenti pada aturan pertama yang cocok dengan lalu lintas. Kecocokan pertama itu adalah keputusannya, dan semua di bawahnya tidak tercapai untuk aliran itu.

Tulis aturan izin dari pekerjaan cetak

Mulailah dari pekerjaan, bukan dari printer. Pengguna memerlukan layanan cetak pada alamat printer, jadi aturan itu menyebut alamat tersebut, protokol itu, dan port itu. Alias untuk kumpulan VPN dan alias untuk printer menjaga aturan tetap terbaca.

Lawan dorongan menambahkan port penemuan atau administrasi agar wizard lebih senang. Aturan yang mengizinkan seluruh printer adalah kebijakan berbeda dari yang mengizinkan antrean cetak.

Pertahankan autentikasi printer itu sendiri. Izin jaringan bukan penggantinya. Akun tingkat antrean adalah kontrol yang tepat untuk siapa boleh mencetak apa.

Enam nilai membawa seluruh maksud: izin sebagai tindakan, IPv4 sebagai keluarga, TCP sebagai protokol, alias kumpulan sebagai sumber, alias printer sebagai tujuan, dan 631 sebagai port. Apa pun di luar keenam itu adalah kebijakan berbeda dari yang diminta.

Beri klien jalur tanpa izin LAN

Klien memerlukan rute ke alamat printer, dan sisi kantor memerlukan jalur balasan ke kumpulan VPN. Mengirim satu /32 menjaga konfigurasi klien tetap sempit, yang membantu pemecahan masalah. Itu bukan batas otorisasi, karena klien dapat menambahkan rute sendiri.

Jika antrean dialamatkan dengan nama, tentukan ketergantungan resolver secara terpisah. Mengizinkan seluruh LAN agar satu nama terurai adalah perubahan yang jauh lebih besar daripada yang dibutuhkan pekerjaan.

Pilih dengan sadar antara merutekan kembali ke kumpulan dan menerjemahkan sumber. Keduanya berfungsi, dan masing-masing menyembunyikan sesuatu yang berbeda dari log.

Uji penolakan sekaligus pekerjaannya

Kirim satu pekerjaan kecil dan tidak sensitif dari pengguna VPN, lalu coba sumber daya LAN yang seharusnya ditolak dan halaman administrasi firewall itu sendiri. Ketiga pengujian termasuk dalam sesi yang sama, karena hanya itulah cara melihat kebijakan secara keseluruhan. Pekerjaan cetak yang berhasil saja hampir tidak membuktikan apa pun tentang batasnya.

Tinjau IPv6 dan jalur VPN aktif lainnya sebelum menyebut penerapan hanya-printer. Kumpulan aturan yang sempit dalam satu keluarga alamat bisa sepenuhnya terbuka di keluarga lainnya.