VPN пайдаланушысына бір принтер керек, бүкіл LAN емес

Ереже дұрыс көрінеді, ал принтер әлі де бас тартады. Немесе принтер жұмыс істейді және сол пайдаланушы файл серверіне де жете алады, бұл одан да нашар. Екі нәтиже де әдетте бір жерден шығады: тар ереже бұрыннан кеңірек нәрсеге рұқсат берген ережелер жиынтығына қосылған. Нақты ретті оқу жаңа ереже жазылмай тұрып нәтижені түсіндіреді.

Симптом: тар ереже ештеңені өзгертпеді

Арнайы VPN пулы, бір принтер мекенжайы және TCP 631-дегі рұқсат ережесі орынды дизайн. Ол мүлде өзгеріс әкелмесе, бірінші күдік трафиктің сол ережеге ешқашан жетпегені болуы керек. Ереже тек бағалау ретінде өз орнына жеткен трафик туралы шешім қабылдайды. Өрістерді тексеру оңай және олар сәтсіздік себебі сирек болады.

Қарама-қарсы симптомды байқамау оңайырақ. Басып шығару тапсырмасы сәтті болады, сол сияқты бұл пайдаланушы ешқашан жетпеуі тиіс файл ортақтастығына қосылу да сәтті болады. Бұл бұрынырақ бірдеңе LAN-ға рұқсат бергенін білдіреді.

Екі симптом да жаңа ереженің өрістеріне емес, ретке нұсқайды. Оның бірі ешқашан сәйкес келмеген ереже, екіншісі тым ерте сәйкес келген ереже.

Трафик шын мәнінде қай ережелер жиынтығына түседі

pfSense ережелерді әр интерфейс бойынша бағалайды, ал OpenVPN-нің өз қосымша беті бар, оның ережелері әр сервер мен клиент данасына қолданылады. Бұл ережелер нақты OpenVPN интерфейсіне тағайындалған ережелерден бұрын өңделеді. Сондықтан OpenVPN бетінде қалдырылған кең рұқсат интерфейс беті не десе де, бұл пайдаланушыға да қолданылады. Осы ретті өзгеріс жазбасына көшіріңіз, сонда шолу GUI-ді ашпай-ақ тексере алады.

Сондықтан жаңа тар рұқсат қатынасты тартып ала алмайды. Firewall ережелері рұқсатты қосады және оны бұрынғы сәйкестіктен алмайды.

Нақты тізімді жоғарыдан оқып, трафикке сәйкес келетін бірінші ережеде тоқтаңыз. Сол бірінші сәйкестік — шешім, ал оның астындағының бәрі сол ағын үшін қолжетімсіз.

Рұқсат ережесін басып шығару тапсырмасынан жазыңыз

Принтерден емес, тапсырмадан бастаңыз. Пайдаланушыға принтер мекенжайындағы басып шығару қызметі керек, сондықтан ереже сол мекенжайды, сол протоколды және сол портты атайды. VPN пулы үшін бүркеншік ат және принтер үшін бүркеншік ат ережені оқуға қолайлы етеді.

Шеберді қуанту үшін анықтау немесе әкімшілік порттарын қосуға қарсы тұрыңыз. Бүкіл принтерге рұқсат беретін ереже басып шығару кезегіне рұқсат беретін ережеден басқа саясат.

Принтердің өз аутентификациясын орнында қалдырыңыз. Желілік рұқсат оның орнын баспайды. Кезек деңгейіндегі тіркелгі кімнің нені басып шығара алатынын дұрыс бақылау болып табылады.

Алты мән бүкіл ниетті алып жүреді: әрекет ретінде рұқсат, отбасы ретінде IPv4, протокол ретінде TCP, дереккөз ретінде пул бүркеншік аты, меже ретінде принтер бүркеншік аты және порт ретінде 631. Осы алтаудан тыс кез келген нәрсе сұралғаннан басқа саясат.

Клиентке LAN рұқсатынсыз жол беріңіз

Клиентке принтер мекенжайына маршрут керек, ал кеңсе жағына VPN пулына жауап жолы керек. Бір /32 жіберу клиент конфигурациясын тар күйінде ұстайды, бұл ақаулықтарды жоюға көмектеседі. Бұл авторизация шекарасы емес, өйткені клиент маршруттарды өзі қоса алады.

Кезек атаумен адрестелсе, шешушіге тәуелділікті бөлек анықтаңыз. Бір атау шешілуі үшін бүкіл LAN-ға рұқсат беру тапсырма талап ететіннен әлдеқайда үлкен өзгеріс.

Пулға қайта маршруттау мен дереккөзді аудару арасында саналы түрде таңдаңыз. Екеуі де жұмыс істейді және әрқайсысы журналдардан өзгеше нәрсені жасырады.

Тапсырманы да, бас тартуды да тексеріңіз

VPN пайдаланушысынан бір шағын, құпия емес тапсырма жіберіңіз, содан кейін бас тартылуы тиіс LAN ресурсын және firewall-дың өз әкімшілік бетін байқап көріңіз. Үш тест те бір сеансқа жатады, өйткені саясатты тұтас көрудің жалғыз жолы осы. Тек сәтті басып шығару тапсырмасы шекара туралы ешнәрсе дерлік дәлелдемейді.

Орналастыруды тек принтер деп атамас бұрын IPv6 мен кез келген басқа белсенді VPN жолын қарап шығыңыз. Бір мекенжайлар отбасында тар ережелер жиынтығы екіншісінде толық ашық болуы мүмкін.