Un utente VPN ha bisogno di una stampante, non di tutta la LAN

La regola sembra corretta e la stampante rifiuta ancora. Oppure la stampante funziona e lo stesso utente raggiunge anche il file server, il che è peggio. Entrambi i risultati di solito vengono dallo stesso punto: la regola stretta è stata aggiunta a un insieme di regole che già permetteva qualcosa di più ampio. Leggere l’ordine effettivo spiega il risultato prima che venga scritta qualsiasi nuova regola.

Il sintomo: la regola stretta non ha cambiato nulla

Un pool VPN dedicato, un indirizzo della stampante e una regola di autorizzazione su TCP 631 sono un progetto ragionevole. Quando non produce alcun cambiamento, il primo sospetto dovrebbe essere che il traffico non abbia mai raggiunto quella regola. Una regola decide solo per il traffico che arriva alla sua posizione nell’ordine di valutazione. I campi sono facili da controllare e raramente sono la causa dell’errore.

Il sintomo opposto è più facile da trascurare. Il lavoro di stampa riesce, e così anche una connessione a una condivisione file che questo utente non avrebbe mai dovuto raggiungere. Ciò significa che qualcosa di precedente aveva già permesso la LAN.

Entrambi i sintomi indicano l’ordine e non i campi della nuova regola. Uno è una regola che non ha mai corrisposto, l’altro è una regola che ha corrisposto troppo presto.

Quale insieme di regole colpisce davvero il traffico

pfSense valuta le regole per interfaccia, e OpenVPN ha una propria scheda le cui regole valgono per ogni istanza server e client. Quelle regole vengono elaborate prima delle regole assegnate a una specifica interfaccia OpenVPN. Un permesso ampio lasciato nella scheda OpenVPN vale quindi anche per questo utente, qualunque cosa dica la scheda dell’interfaccia. Copiate quest’ordine nel registro della modifica perché la revisione possa verificarlo senza aprire la GUI.

Per questo un nuovo permesso stretto non può togliere accesso. Le regole del firewall aggiungono permesso e non lo tolgono a una corrispondenza precedente.

Leggete l’elenco effettivo dall’alto e fermatevi alla prima regola che corrisponde al traffico. Quella prima corrispondenza è la decisione, e tutto ciò che sta sotto è irraggiungibile per quel flusso.

Scrivete la regola di autorizzazione dal lavoro di stampa

Partite dal lavoro e non dalla stampante. L’utente ha bisogno del servizio di stampa sull’indirizzo della stampante, quindi la regola nomina quell’indirizzo, quel protocollo e quella porta. Un alias per il pool VPN e un alias per la stampante mantengono la regola leggibile.

Resistete all’aggiunta di porte di scoperta o di amministrazione per rendere più contento un assistente. Una regola che ammette tutta la stampante è una politica diversa da una che ammette una coda di stampa.

Mantenete l’autenticazione propria della stampante. Un permesso di rete non la sostituisce. Un account a livello di coda è il controllo giusto su chi può stampare cosa.

Sei valori portano tutta l’intenzione: autorizzazione come azione, IPv4 come famiglia, TCP come protocollo, l’alias del pool come origine, l’alias della stampante come destinazione e 631 come porta. Qualunque cosa oltre questi sei è una politica diversa da quella richiesta.

Date al client un percorso senza permesso per la LAN

Il client ha bisogno di una rotta verso l’indirizzo della stampante, e il lato ufficio di un percorso di risposta verso il pool VPN. Inviare un solo /32 mantiene la configurazione del client stretta, il che aiuta la diagnosi. Non è il confine di autorizzazione, perché un client può aggiungere rotte da solo.

Se la coda è indirizzata per nome, definite la dipendenza dal resolver separatamente. Consentire tutta la LAN perché un solo nome venga risolto è un cambiamento molto più grande di quanto richieda il lavoro.

Scegliete deliberatamente tra l’instradamento verso il pool e la traduzione della sorgente. Entrambi funzionano, e ciascuno nasconde qualcosa di diverso ai registri.

Provate il rifiuto oltre al lavoro

Inviate un lavoro piccolo e non sensibile dall’utente VPN, poi provate una risorsa della LAN che dovrebbe essere rifiutata e la pagina di amministrazione del firewall stesso. Le tre prove appartengono alla stessa sessione, perché è l’unico modo per vedere la politica nel suo insieme. Un lavoro di stampa riuscito da solo non dimostra quasi nulla sul confine.

Esaminate IPv6 e qualsiasi altro percorso VPN attivo prima di definire la distribuzione solo stampante. Un insieme di regole stretto in una famiglia di indirizzi può essere del tutto aperto nell’altra.