VPN მომხმარებელს ერთი პრინტერი სჭირდება და არა მთელი LAN

წესი სწორად გამოიყურება და პრინტერი მაინც უარს ამბობს. ან პრინტერი მუშაობს და იმავე მომხმარებელს ფაილური სერვერიც მისაწვდომია, რაც უარესია. ორივე შედეგი ჩვეულებრივ ერთი და იმავე ადგილიდან მოდის: ვიწრო წესი დაემატა წესების ერთობლიობას, რომელიც უკვე უფრო ფართო რაღაცას უშვებდა. ფაქტობრივი რიგის წაკითხვა ხსნის შედეგს ახალი წესის დაწერამდე.

სიმპტომი: ვიწრო წესმა არაფერი შეცვალა

გამოყოფილი VPN აუზი, პრინტერის ერთი მისამართი და დაშვების წესი TCP 631-ზე გონივრული დიზაინია. როცა ის საერთოდ არ იწვევს ცვლილებას, პირველი ეჭვი უნდა იყოს, რომ ტრაფიკი ამ წესამდე არასოდეს მისულა. წესი გადაწყვეტს მხოლოდ იმ ტრაფიკზე, რომელიც შეფასების რიგში მის პოზიციამდე აღწევს. ველების შემოწმება მარტივია და ისინი იშვიათად არიან წარუმატებლობის მიზეზი.

საპირისპირო სიმპტომის გამოტოვება უფრო ადვილია. ბეჭდვის დავალება წარმატებით სრულდება და ასევე ფაილების გაზიარებაზე დაკავშირება, სადაც ამ მომხმარებელს არასოდეს უნდა მიეღწია. ეს ნიშნავს, რომ რაღაც ადრინდელმა უკვე დაუშვა LAN.

ორივე სიმპტომი მიუთითებს რიგზე და არა ახალი წესის ველებზე. ერთი მათგანი წესია, რომელიც არასოდეს დაემთხვა, ხოლო მეორე წესია, რომელიც ძალიან ადრე დაემთხვა.

რომელ წესების ერთობლიობას ხვდება ტრაფიკი სინამდვილეში

pfSense წესებს ინტერფეისების მიხედვით აფასებს, ხოლო OpenVPN-ს აქვს საკუთარი ჩანართი, რომლის წესები ყველა სერვერისა და კლიენტის ინსტანციაზე მოქმედებს. ეს წესები მუშავდება კონკრეტული OpenVPN ინტერფეისისთვის მინიჭებულ წესებამდე. ამიტომ OpenVPN-ის ჩანართზე დატოვებული ფართო დაშვება ამ მომხმარებელზეც მოქმედებს, რაც არ უნდა თქვას ინტერფეისის ჩანართმა. დააკოპირეთ ეს რიგი ცვლილების ჩანაწერში, რათა მიმოხილვამ GUI-ის გახსნის გარეშე შეძლოს მისი შემოწმება.

ამიტომ ახალ ვიწრო დაშვებას არ შეუძლია წვდომის წართმევა. Firewall-ის წესები ნებართვას ამატებენ და წინა დამთხვევას მას არ ართმევენ.

წაიკითხეთ ფაქტობრივი სია ზემოდან და გაჩერდით პირველ წესზე, რომელიც ტრაფიკს ემთხვევა. სწორედ ეს პირველი დამთხვევაა გადაწყვეტილება, ხოლო მის ქვემოთ ყველაფერი ამ ნაკადისთვის მიუწვდომელია.

დაწერეთ დაშვების წესი ბეჭდვის დავალებიდან

დაიწყეთ დავალებიდან და არა პრინტერიდან. მომხმარებელს სჭირდება ბეჭდვის სერვისი პრინტერის მისამართზე, ამიტომ წესი ასახელებს ამ მისამართს, ამ პროტოკოლს და ამ პორტს. VPN აუზის ფსევდონიმი და პრინტერის ფსევდონიმი წესს წაკითხვადს ხდის.

წინააღმდეგობა გაუწიეთ აღმოჩენის ან ადმინისტრირების პორტების დამატების სურვილს, რათა ოსტატი უფრო კმაყოფილი იყოს. წესი, რომელიც მთელ პრინტერს უშვებს, სხვა პოლიტიკაა, ვიდრე ის, რომელიც ბეჭდვის რიგს უშვებს.

შეინარჩუნეთ თავად პრინტერის ავთენტიფიკაცია თავის ადგილზე. ქსელური ნებართვა მის შემცვლელი არ არის. რიგის დონის ანგარიში სწორი კონტროლია იმაზე, თუ ვის რისი დაბეჭდვა შეუძლია.

ექვსი მნიშვნელობა ატარებს მთელ განზრახვას: დაშვება როგორც მოქმედება, IPv4 როგორც ოჯახი, TCP როგორც პროტოკოლი, აუზის ფსევდონიმი როგორც წყარო, პრინტერის ფსევდონიმი როგორც დანიშნულება და 631 როგორც პორტი. ამ ექვსის მიღმა ყველაფერი მოთხოვნილისგან განსხვავებული პოლიტიკაა.

მიეცით კლიენტს გზა LAN-ის ნებართვის გარეშე

კლიენტს სჭირდება მარშრუტი პრინტერის მისამართამდე, ხოლო ოფისის მხარეს პასუხის გზა VPN აუზამდე. ერთი /32-ის გაგზავნა კლიენტის კონფიგურაციას ვიწროდ ინარჩუნებს, რაც ხელს უწყობს პრობლემების მოგვარებას. ეს არ არის ავტორიზაციის საზღვარი, რადგან კლიენტს თავად შეუძლია მარშრუტების დამატება.

თუ რიგს სახელით მიმართავენ, გადამწყვეტის დამოკიდებულება ცალკე განსაზღვრეთ. მთელი LAN-ის დაშვება იმისთვის, რომ ერთი სახელი გადაწყდეს, გაცილებით დიდი ცვლილებაა, ვიდრე დავალება მოითხოვს.

შეგნებულად აირჩიეთ აუზში უკან მარშრუტიზაციასა და წყაროს თარგმნას შორის. ორივე მუშაობს და თითოეული სხვადასხვა რამეს მალავს ჟურნალებისგან.

გამოსცადეთ როგორც უარი, ისე დავალება

გაგზავნეთ ერთი პატარა, არასენსიტიური დავალება VPN მომხმარებლისგან, შემდეგ სცადეთ LAN-ის რესურსი, რომელიც უნდა უარყოფილ იქნას, და თავად firewall-ის ადმინისტრირების გვერდი. სამივე ტესტი ერთ სესიას ეკუთვნის, რადგან ესაა პოლიტიკის მთლიანად დანახვის ერთადერთი გზა. მხოლოდ წარმატებული ბეჭდვის დავალება საზღვრის შესახებ თითქმის არაფერს ამტკიცებს.

გადახედეთ IPv6-ს და ნებისმიერ სხვა აქტიურ VPN გზას, სანამ განლაგებას მხოლოდ-პრინტერი უწოდებთ. მისამართების ერთ ოჯახში ვიწრო წესების ერთობლიობა მეორეში სრულიად ღია შეიძლება იყოს.