VPN-notandi þarf einn prentara, ekki allt LAN-ið

Reglan lítur rétt út og prentarinn neitar samt. Eða prentarinn virkar og sami notandi nær líka í skráaþjóninn, sem er verra. Báðar niðurstöður koma yfirleitt frá sama stað: þröngu reglunni var bætt við reglusafn sem leyfði þegar eitthvað víðtækara. Að lesa raunverulegu röðina útskýrir niðurstöðuna áður en ný regla er skrifuð.

Einkennið: þrönga reglan breytti engu

Sérstakt VPN-safn, eitt prentarafang og leyfisregla á TCP 631 er sanngjörn hönnun. Þegar hún hefur enga breytingu í för með sér ætti fyrsta grunurinn að vera að umferðin hafi aldrei náð þeirri reglu. Regla ákveður aðeins fyrir umferð sem kemur að stöðu hennar í matsröðinni. Auðvelt er að athuga svæðin og þau eru sjaldan orsök mistakanna.

Auðveldara er að missa af gagnstæðu einkennunum. Prentverkefnið heppnast og tenging við skráardeilingu sem þessi notandi átti aldrei að ná líka. Það þýðir að eitthvað fyrra leyfði LAN-ið þegar.

Bæði einkennin benda á röðina en ekki svæði nýju reglunnar. Annað er regla sem passaði aldrei og hitt er regla sem passaði of fljótt.

Hvaða reglusafn umferðin lendir í raun á

pfSense metur reglur fyrir hvert tengi og OpenVPN hefur sinn eigin flipa þar sem reglurnar gilda fyrir hverja þjóns- og biðlaratilvik. Þessar reglur eru unnar á undan reglum sem eru úthlutað til tiltekins OpenVPN-tengis. Því gildir breitt leyfi sem skilið er eftir á OpenVPN-flipanum einnig fyrir þennan notanda, hvað sem tengjaflipinn segir. Afritaðu þessa röð í breytingaskrána svo yfirferðin geti athugað hana án þess að opna GUI-ið.

Þess vegna getur nýtt þröngt leyfi ekki tekið aðgang af. Eldveggjarreglur bæta við heimild og taka hana ekki frá fyrra samsvari.

Lestu raunverulega listann að ofan og stöðvaðu við fyrstu regluna sem passar við umferðina. Það fyrsta samsvar er ákvörðunin og allt þar undir er óaðgengilegt fyrir þá streymingu.

Skrifaðu leyfisregluna út frá prentverkefninu

Byrjaðu á verkefninu en ekki prentaranum. Notandinn þarf prentþjónustuna á prentarafanginu, svo reglan nefnir það fang, það samskiptareglur og þá gátt. Alias fyrir VPN-safnið og alias fyrir prentarann halda reglunni læsilegri.

Standist freistinguna að bæta við uppgötvunar- eða stjórnunargáttum til að gleðja leiðarvísi. Regla sem hleypir öllum prentaranum er önnur stefna en sú sem hleypir prentröð.

Haltu eigin auðkenningu prentarans. Nettengingarleyfi kemur ekki í staðinn. Reikningur á raðarstigi er rétta stjórnin á því hver má prenta hvað.

Sex gildi bera alla ásetninguna: leyfi sem aðgerð, IPv4 sem fjölskylda, TCP sem samskiptareglur, alias safnsins sem uppruni, alias prentarans sem áfangastaður og 631 sem gátt. Allt umfram þessi sex er önnur stefna en sú sem óskað var eftir.

Gefðu biðlaranum leið án LAN-leyfis

Biðlarinn þarf leið að prentarafanginu og skrifstofumegin þarf svarleið að VPN-safninu. Að ýta einu /32 heldur biðlarastillingunni þröngri, sem hjálpar við bilanaleit. Það er ekki heimildarmörkin, því biðlari getur bætt við leiðum sjálfur.

Ef raðinni er beint með nafni skaltu skilgreina háð leysandans sérstaklega. Að leyfa allt LAN-ið svo eitt nafn leysist er miklu meiri breyting en verkefnið krefst.

Veldu af ásetningi milli þess að beina aftur í safnið og að þýða upprunann. Bæði virka og hvort um sig felur eitthvað annað fyrir skránum.

Prófaðu höfnunina jafnt sem verkefnið

Sendu eitt lítið, ónæmt verkefni frá VPN-notandanum, prófaðu síðan LAN-auðlind sem á að hafna og stjórnunarsíðu eldveggjarins sjálfs. Allar þrjár prófanirnar tilheyra sama fundi, því það er eina leiðin til að sjá stefnuna í heild. Eitt heppnað prentverkefni sannar næstum ekkert um mörkin.

Farið yfir IPv6 og aðra virka VPN-leið áður en uppsetningin er kölluð aðeins-prentari. Reglusafn sem er þröngt í einni afangafjölskyldu getur verið algjörlega opið í hinni.