pfSense шығыс NAT: алдымен құрылған ережелерді оқыңыз

Firewall, содан кейін NAT, содан кейін Outbound ашып, бірдеңе қоспас бұрын режимді оқыңыз. Automatic режимінде pfSense WAN интерфейстері үшін және олардың ішінде қашықтан қатынау VPN желілері үшін ережелер құрады, сондықтан қосқалы отырған пулыңыз көбіне әлдеқашан қамтылған. Қолмен жазылған жолдың болмауы аударманың жоқтығына дәлел емес. Төмендегі рет бір пулды шешу үшін бүкіл firewall-ды Manual режиміне ауыстырудан сақтайды.

Режим құрылғыдағы қалған барлық желі үшін аударманы кім ұстап тұратынын анықтайды, бұл бір VPN ерекшелігінен үлкенірек шешім.

Automatic режимі VPN пулын әлдеқашан қамтиды

Әр режимнің жеке иесі бар. Automatic WAN интерфейстері үшін ережелер құрады және өз көздерінің қатарына қашықтан қатынау VPN желілерін қосады. Hybrid сол құрылған ережелерді сақтайды және олардың қасына қолмен жасалған ережелерді қосуға мүмкіндік береді. Manual ешнәрсе құруды тоқтатады, сондықтан firewall-дағы әрбір аударма, өзіңіз жазбағандарды қоса, сіздің жауапкершілігіңізге айналады. Төртінші параметр шығыс NAT-ты толығымен өшіреді. Қолмен жазылғандай көрінетін жол қай режимнің белсенді екенін білмейінше ештеңені дәлелдемейді.

Automatic және Hybrid режимдерінде бет құрылған ережелерді де көрсетеді. VPN пулының аудармасы жоқ деп қорытынды жасамас бұрын оларды оқыңыз: көз бағанынан пулдың желісін, интерфейс бағанынан WAN интерфейсін іздеңіз.

Hybrid-ді тек қаралған ерекшелік үшін таңдаңыз

Шығыс саясаты шынымен өзгеше болса, құжатталған ерекшелік әлі де мүмкін. 10.90.0.0/24 тарататын серверді елестетіңіз, онда firewall IPv4 интернет шығысын қамтамасыз етуі керек және маршруттау әлдеқашан WAN таңдайды. Күтілетін түрлендіру — 10.90.0.23 көзін WAN мекенжайына қайта жазу. Құрылған ереженің сол шығыста мұны әлдеқашан жасайтынын тексеріңіз; егер жоқ болса, Hybrid автоматты қамтуды сақтап, қаралған ережеңізді қосады.

Көз ретінде нақты VPN пулын немесе ол үшін қолдау көрсетілген бүркеніш атауды пайдаланыңыз, және таңдау тізімінде OpenVPN данасының атауы жоқ деп қатысы жоқ мекенжайды ешқашан таңдамаңыз. any көзінен аулақ болыңыз, ол firewall өзі жасайтын трафикті де аударады.

Бір пул үшін бүкіл firewall-ды Manual-ға ауыстырмаңыз. Бұл шешім әрбір ішкі желі мен әрбір болашақ WAN өзгерісі үшін қызмет көрсетуді қайта бөледі.

NAT шығысты таңдамайды

Маршруттау шығыс интерфейсін таңдайды; шығыс NAT ережесі пакет шыққаннан кейін көздің қалай қайта жазылатынын ғана сипаттайды. WAN үшін бейнелеу маршруттау басқа жерге жіберген пакетті WAN-ға мәжбүрлемейді, сондықтан NAT қосу қате маршрутты түзете алмайды. Қолданылатын 1:1 NAT жазбалары мен ерекшеліктерді де тексеріңіз, себебі рет маңызды және жаңа жол міндетті түрде жеңбейді. Ал шығыс беті сүзгі беті емес.

Аударылған көз кез келген межеге жетуге рұқсат емес. Клиенттерге әлі де туннель арқылы маршрут және олардың трафигін қабылдайтын firewall ережесі қажет, ал таңдалған шығысқа жұмыс істейтін қайтару жолы қажет. Тек LAN қатынауын интернет шығысы рұқсатынан бөлек ұстаңыз.

Түрлендіруді жаңа қосылымда дәлелдеңіз

Бекітілген өзгерістен кейін бар қосылымды қайта пайдаланудың орнына жаңа рұқсат етілген қосылыммен тексеріңіз, себебі орныққан күйлер бұрынғы түрлендіруін сақтайды. WAN-нан шынымен шығатын көз мекенжайын және жауаптың сол күй арқылы қайтатынын растаңыз. Бірінші қадам ретінде бүкіл күй кестесін тазаламаңыз; бұл қай ереженің нәтижені өзгерткенін жасырады. Өзгеріс билетіне режимді, ережені, пулды және шығысты жазыңыз.

Бұл мысал тек IPv4 шығысын қамтиды. Ол IPv6 аудармасы немесе сүзгілеу саясаты туралы ештеңе айтпайды, және оны қажет ететін жоба оны бөлек көрсетуі керек. Дайын жазба рұқсат етілген клиент трафигін, оны тасымалдайтын интерфейсті және көздің неліктен қайта жазылуы керектігін тізімдейді.