pfSense чыгуучу NAT: адегенде түзүлгөн эрежелерди окуңуз

Firewall, андан кийин NAT, андан кийин Outbound ачып, бир нерсе кошконго чейин режимди окуңуз. Automatic режиминде pfSense WAN интерфейстери үчүн жана алардын ичинен алыскы кирүү VPN тармактары үчүн эрежелерди түзөт, ошондуктан кошконго жаткан пулуңуз көбүнчө мурунтан эле камтылган. Кол менен жазылган саптын жоктугу котормонун жоктугуна далил эмес. Төмөнкү тартип бир пулду чечүү үчүн бүт firewall-ды Manual режимине которуудан сактайт.

Режим түзмөктөгү калган бардык тармак үчүн котормону ким кармап турарын аныктайт, бул бир VPN өзгөчөлүгүнөн чоңураак чечим.

Automatic режими VPN пулун мурунтан эле камтыйт

Ар бир режимдин өз ээси бар. Automatic WAN интерфейстери үчүн эрежелерди түзөт жана өз булактарынын катарына алыскы кирүү VPN тармактарын кошот. Hybrid ошол түзүлгөн эрежелерди сактайт жана алардын жанына кол менен жасалган эрежелерди кошууга уруксат берет. Manual эч нерсе түзүүнү токтотот, ошондуктан firewall-дагы ар бир котормо, өзүңүз жазбагандар да кошулуп, сиздин жоопкерчилигиңизге өтөт. Төртүнчү параметр чыгуучу NAT-ты толугу менен өчүрөт. Кол менен жазылгандай көрүнгөн сап кайсы режим активдүү экенин билмейинче эч нерсени далилдебейт.

Automatic жана Hybrid режимдеринде баракча түзүлгөн эрежелерди да көрсөтөт. VPN пулунун котормосу жок деп жыйынтык чыгарганга чейин аларды окуңуз: булак мамычасынан пулдун тармагын, интерфейс мамычасынан WAN интерфейсин издеңиз.

Hybrid-ди каралган өзгөчөлүк үчүн гана тандаңыз

Чыгуу саясаты чындап эле башка болгондо документтештирилген өзгөчөлүк дагы эле мүмкүн. 10.90.0.0/24 бөлүп берген серверди элестетиңиз, мында firewall IPv4 интернет чыгуусун камсыз кылышы керек жана маршруттоо мурунтан эле WAN тандайт. Күтүлгөн өзгөртүү — 10.90.0.23 булагын WAN дарегине кайра жазуу. Түзүлгөн эреженин ошол чыгууда муну мурунтан эле жасайбы же жокпу текшериңиз; эгер жок болсо, Hybrid автоматтык камтууну сактап, каралган эрежеңизди кошот.

Булак катары чыныгы VPN пулун же ага колдоо көрсөтүлгөн псевдонимди колдонуңуз, жана тандоодо OpenVPN үлгүсүнүн аты жок деп байланышсыз даректи эч качан тандабаңыз. any булагынан качыңыз, ал firewall өзү түзгөн трафикти да которот.

Бир пул үчүн бүт firewall-ды Manual-га өткөрбөңүз. Бул чечим ар бир ички тармак жана ар бир келечектеги WAN өзгөрүүсү үчүн тейлөөнү кайра бөлүштүрөт.

NAT чыгууну тандабайт

Маршруттоо чыгуу интерфейсин тандайт; чыгуучу NAT эрежеси пакет чыккандан кийин булактын кантип кайра жазыларын гана сүрөттөйт. WAN үчүн картага түшүрүү маршруттоо башка жакка жиберген пакетти WAN аркылуу өтүүгө мажбурлабайт, ошондуктан NAT кошуу туура эмес маршрутту оңдой албайт. Колдонулуучу 1:1 NAT жазууларын жана өзгөчөлүктөрдү да текшериңиз, анткени тартип маанилүү жана жаңы сап сөзсүз жеңишке жетпейт. Ал эми чыгуу баракчасы фильтр баракчасы эмес.

Которулган булак ар бир багытка жетүүгө уруксат эмес. Кардарларга дагы эле туннелден өткөн маршрут жана алардын трафигин кабыл алган firewall эрежеси керек, ал эми тандалган чыгууга иштеген кайтуу жолу керек. LAN гана кирүүнү интернет чыгуу уруксатынан өзүнчө кармаңыз.

Өзгөртүүнү жаңы байланышта далилдеңиз

Бекитилген өзгөртүүдөн кийин бар байланышты кайра колдонуунун ордуна жаңы уруксат берилген байланыш менен сынаңыз, анткени орнотулган абалдар мурунку өзгөртүүлөрүн сактайт. WAN-дан чындыгында чыккан булак дарегин жана жооп ошол эле абал аркылуу кайтарын тастыктаңыз. Биринчи кадам катары бүт абал таблицасын тазалабаңыз; бул кайсы эреже натыйжаны өзгөрткөнүн жашырат. Өзгөртүү билетине режимди, эрежени, пулду жана чыгууну жазыңыз.

Бул мисал IPv4 чыгуусун гана камтыйт. Ал IPv6 котормосу же фильтрлөө саясаты жөнүндө эч нерсе айтпайт, жана ага муктаж долбоор аны өзүнчө көрсөтүүгө тийиш. Бүткөн жазуу уруксат берилген кардар трафигин, аны ташыган интерфейсти жана булак эмне үчүн кайра жазылышы керектигинин себебин тизмелейт.