pfSense 아웃바운드 NAT: 먼저 생성된 규칙을 읽으세요

Firewall을 열고, 그다음 NAT, 그다음 Outbound를 열어 무엇이든 추가하기 전에 모드를 읽으세요. Automatic 모드에서 pfSense는 WAN 인터페이스에 대한 규칙을 생성하고 그중 원격 액세스 VPN 네트워크에 대한 규칙도 생성하므로, 추가하려는 풀은 이미 덮여 있는 경우가 많습니다. 손으로 쓴 행이 없다고 해서 변환이 없다는 증거는 아닙니다. 아래 순서를 따르면 풀 하나를 해결하려고 방화벽 전체를 Manual로 바꾸지 않게 됩니다.

모드는 장치의 다른 모든 네트워크에 대한 변환을 누가 유지하는지 결정하며, 이는 VPN 예외 하나보다 큰 결정입니다.

Automatic 모드는 이미 VPN 풀을 포함합니다

각 모드에는 서로 다른 담당자가 있습니다. Automatic은 WAN 인터페이스에 대한 규칙을 생성하고 원격 액세스 VPN 네트워크를 소스에 포함합니다. Hybrid는 그렇게 생성된 규칙을 유지하고 그 옆에 수동 규칙을 추가할 수 있게 합니다. Manual은 아무것도 생성하지 않으므로 방화벽의 모든 변환이, 직접 작성하지 않은 것까지도, 귀하의 책임이 됩니다. 네 번째 설정은 아웃바운드 NAT를 완전히 비활성화합니다. 손으로 쓴 것처럼 보이는 행은 어떤 모드가 활성인지 알기 전까지 아무것도 증명하지 못합니다.

Automatic과 Hybrid에서는 페이지에 생성된 규칙도 표시됩니다. VPN 풀에 변환이 없다고 결론을 내리기 전에 그것을 읽고, 소스 열에서 풀의 네트워크를, 인터페이스 열에서 WAN 인터페이스를 확인하세요.

Hybrid는 검토된 예외에만 선택하세요

송신 정책이 실제로 다를 때는 문서화된 예외가 여전히 가능합니다. 10.90.0.0/24를 할당하는 서버를 상상해 보세요. 방화벽은 IPv4 인터넷 송신을 제공해야 하고 라우팅은 이미 WAN을 선택합니다. 예상되는 변환은 소스 10.90.0.23이 WAN 주소로 다시 쓰이는 것입니다. 생성된 규칙이 그 출구에서 이미 그렇게 하는지 확인하고, 아니라면 Hybrid는 자동 적용 범위를 유지하면서 검토된 규칙을 추가합니다.

소스로는 실제 VPN 풀 또는 그에 대해 지원되는 별칭을 사용하고, OpenVPN 인스턴스 이름이 선택 목록에 없다는 이유만으로 무관한 주소를 선택하지 마세요. any 소스를 피하세요. 방화벽 자체가 생성하는 트래픽까지 변환합니다.

풀 하나 때문에 방화벽 전체를 Manual로 옮기지 마세요. 그 결정은 모든 내부 네트워크와 모든 향후 WAN 변경에 대한 유지 관리를 다시 배정합니다.

NAT는 출구를 선택하지 않습니다

출구 인터페이스를 선택하는 것은 라우팅입니다. 아웃바운드 NAT 규칙은 패킷이 나간 뒤 소스가 어떻게 다시 쓰이는지만 설명합니다. WAN에 대한 매핑은 라우팅이 다른 곳으로 보낸 패킷을 WAN으로 강제하지 않으므로, NAT를 추가해도 잘못된 경로를 고칠 수 없습니다. 적용되는 1:1 NAT 항목과 예외도 확인하세요. 순서가 중요하고 새 행이 반드시 이기지는 않습니다. 그리고 아웃바운드 페이지는 필터 페이지가 아닙니다.

변환된 소스는 모든 목적지에 도달할 권한이 아닙니다. 클라이언트에는 여전히 터널을 통과하는 경로와 그 트래픽을 허용하는 방화벽 규칙이 필요하고, 선택한 출구에는 작동하는 반환 경로가 필요합니다. LAN 전용 액세스는 인터넷 송신 권한과 분리해 두세요.

새 연결에서 변환을 증명하세요

승인된 변경 후에는 기존 연결을 재사용하지 말고 새로 승인된 연결로 테스트하세요. 설정된 상태는 이전 변환을 유지하기 때문입니다. 실제로 WAN을 떠나는 소스 주소와 응답이 같은 상태를 통해 돌아오는지 확인하세요. 첫 단계로 상태 테이블 전체를 비우지 마세요. 어떤 규칙이 결과를 바꿨는지 숨겨집니다. 변경 티켓에 모드, 규칙, 풀, 출구를 기록하세요.

이 예제는 IPv4 송신만 다룹니다. IPv6 변환이나 필터링 정책에 대해서는 아무것도 말하지 않으며, 그것이 필요한 설계는 따로 명시해야 합니다. 완료된 기록에는 허용된 클라이언트 트래픽, 그것을 전달하는 인터페이스, 그리고 소스를 애초에 다시 써야 하는 이유가 나열됩니다.