NAT in uscita su pfSense: leggete prima le regole generate

Aprile Firewall, poi NAT, poi Outbound, e leggete la modalità prima di aggiungere qualsiasi cosa. In modalità Automatic, pfSense genera regole per le interfacce WAN e, tra queste, per le reti VPN ad accesso remoto, quindi il pool che state per aggiungere è spesso già coperto. L’assenza di una riga scritta a mano non prova che manchi la traduzione. L’ordine sotto vi evita di passare l’intero firewall a Manual per risolvere un solo pool.

La modalità decide chi mantiene la traduzione per ogni altra rete della macchina, ed è una decisione più grande di una singola eccezione VPN.

La modalità Automatic copre già il pool VPN

Ogni modalità ha un proprietario distinto. Automatic genera regole per le interfacce WAN e include le reti VPN ad accesso remoto tra le sue sorgenti. Hybrid conserva queste regole generate e vi permette di aggiungerne di manuali accanto. Manual smette di generare qualsiasi cosa, quindi ogni traduzione sul firewall diventa responsabilità vostra, comprese quelle che non avete scritto. Una quarta impostazione disattiva del tutto il NAT in uscita. Una riga che sembra scritta a mano non prova nulla finché non sapete quale modalità è attiva.

In Automatic e Hybrid la pagina mostra anche le regole generate. Leggetele prima di concludere che un pool VPN non ha traduzione: cercate la rete del pool nella colonna sorgente e l’interfaccia WAN nella colonna interfaccia.

Scegliete Hybrid solo per un’eccezione esaminata

Un’eccezione documentata resta possibile quando la politica di uscita differisce davvero. Immaginate un server che distribuisce 10.90.0.0/24, dove il firewall deve fornire l’uscita Internet IPv4 e il routing sceglie già il WAN. La trasformazione attesa è che la sorgente 10.90.0.23 venga riscritta verso l’indirizzo WAN. Verificate se una regola generata lo fa già su quell’uscita; in caso contrario, Hybrid conserva la copertura automatica e aggiunge la vostra regola esaminata.

Usate il pool VPN reale come sorgente, o un alias supportato per esso, e non scegliete mai un indirizzo non correlato solo perché il nome dell’istanza OpenVPN manca in un selettore. Evitate una sorgente any, che traduce anche il traffico originato dal firewall stesso.

Non passate l’intero firewall a Manual per un solo pool. Quella decisione riassegna la manutenzione per ogni rete interna e per ogni futura modifica del WAN.

Il NAT non sceglie l’uscita

Il routing sceglie l’interfaccia di uscita; una regola NAT in uscita descrive solo come viene riscritta la sorgente una volta che il pacchetto esce. Una mappatura per il WAN non forza un pacchetto che il routing ha inviato altrove a passare per il WAN, ed è per questo che aggiungere NAT non può riparare una rotta errata. Esaminate anche le voci NAT 1:1 applicabili e le eccezioni, perché l’ordine conta e una nuova riga non vince necessariamente. E la pagina in uscita non è la pagina dei filtri.

Una sorgente tradotta non è il permesso di raggiungere ogni destinazione. I client hanno ancora bisogno di una rotta attraverso il tunnel e di una regola del firewall che ammetta il loro traffico, e l’uscita scelta ha bisogno di un percorso di ritorno funzionante. Tenete l’accesso solo LAN separato dal permesso di uscita Internet.

Dimostrate la trasformazione su una nuova connessione

Dopo una modifica approvata, provate con una nuova connessione autorizzata invece di riutilizzarne una esistente, perché gli stati stabiliti conservano la loro trasformazione precedente. Confermate l’indirizzo sorgente che esce davvero dal WAN e che la risposta torna attraverso lo stesso stato. Non svuotate l’intera tabella degli stati come prima mossa; così si nasconde quale regola ha cambiato l’esito. Annotate la modalità, la regola, il pool e l’uscita nel ticket di modifica.

Questo esempio copre solo l’uscita IPv4. Non dice nulla su una traduzione o una politica di filtraggio IPv6, e un progetto che ne abbia bisogno deve dichiararlo a parte. Il record finale elenca il traffico client consentito, l’interfaccia che lo trasporta e il motivo per cui la sorgente deve essere riscritta.