VPN колдонуучуга бир принтер керек, бүт LAN эмес

Эреже туура көрүнөт, бирок принтер дагы эле баш тартат. Же принтер иштейт жана ошол эле колдонуучу файл серверине да жетет, бул андан жаман. Эки натыйжа тең адатта бир жерден келет: тар эреже мурда эле кененирээк нерсеге уруксат берген эрежелер жыйындысына кошулган. Иш жүзүндөгү тартипти окуу жаңы эреже жазылганга чейин натыйжаны түшүндүрөт.

Симптом: тар эреже эч нерсени өзгөрткөн жок

Атайын VPN пулу, бир принтер дареги жана TCP 631деги уруксат эрежеси акылга сыярлык долбоор. Ал такыр өзгөрүү алып келбесе, биринчи шек трафик ошол эрежеге эч качан жетпегени болушу керек. Эреже баалоо тартибинде өз ордуна жеткен трафик жөнүндө гана чечим кабыл алат. Талааларды текшерүү оңой жана алар ийгиликсиздиктин себеби сейрек болот.

Карама-каршы симптомду байкабай калуу оңой. Басып чыгаруу тапшырмасы ийгиликтүү болот, ошондой эле бул колдонуучу эч качан жетпеши керек болгон файл бөлүшүүгө туташуу да ийгиликтүү болот. Бул мурунураак бир нерсе LANга уруксат бергенин билдирет.

Эки симптом тең жаңы эреженин талааларына эмес, тартипке көрсөтөт. Алардын бири эч качан дал келбеген эреже, экинчиси өтө эрте дал келген эреже.

Трафик чындыгында кайсы эрежелер жыйындысына түшөт

pfSense эрежелерди ар бир интерфейс боюнча баалайт, ал эми OpenVPNдин өз өтмөгү бар, анын эрежелери ар бир сервер жана клиент нускасына колдонулат. Бул эрежелер белгилүү бир OpenVPN интерфейсине дайындалган эрежелерден мурун иштетилет. Ошондуктан OpenVPN өтмөгүндө калтырылган кең уруксат интерфейс өтмөгү эмне дебесин, бул колдонуучуга да колдонулат. Ушул тартипти өзгөртүү жазуусуна көчүрүңүз, ошондо кароо GUIни ачпай эле текшере алат.

Ошондуктан жаңы тар уруксат жетүүнү тартып ала албайт. Firewall эрежелери уруксатты кошот жана аны мурунку дал келүүдөн алышпайт.

Иш жүзүндөгү тизмени жогорудан окуп, трафикке дал келген биринчи эрежеде токтоңуз. Ошол биринчи дал келүү — чечим, ал эми анын астындагынын баары ошол агым үчүн жетүүгө мүмкүн эмес.

Уруксат эрежесин басып чыгаруу тапшырмасынан жазыңыз

Принтерден эмес, тапшырмадан баштаңыз. Колдонуучуга принтер дарегиндеги басып чыгаруу кызматы керек, ошондуктан эреже ошол даректи, ошол протоколду жана ошол портту атайт. VPN пулу үчүн лакап ат жана принтер үчүн лакап ат эрежени окууга ыңгайлуу кылат.

Устаны кубантуу үчүн аныктоо же администрациялоо портторун кошууга каршылык көрсөтүңүз. Бүт принтерди уруксат кылган эреже басып чыгаруу кезегине уруксат берген эрежеден башка саясат.

Принтердин өзүнүн аутентификациясын ордунда калтырыңыз. Тармактык уруксат анын ордун баспайт. Кезек деңгээлиндеги эсеп ким эмнени басып чыгара аларын туура көзөмөлдөйт.

Алты маани бүт ниетти алып жүрөт: аракет катары уруксат, үй-бүлө катары IPv4, протокол катары TCP, булак катары пулдун лакап аты, багыт катары принтердин лакап аты жана порт катары 631. Ушул алтоодон тышкаркынын баары суралгандан башка саясат.

Клиентке LAN уруксатысыз жол бериңиз

Клиентке принтер дарегине маршрут керек, ал эми кеңсе тарабына VPN пулуна жооп жолу керек. Бир /32 жиберүү клиент конфигурациясын тар кармайт, бул бузулууларды чечүүгө жардам берет. Бул авторизациянын чеги эмес, анткени клиент маршруттарды өзү кошо алат.

Эгер кезек ат менен адрестелсе, чечүүчүгө көз карандылыкты өзүнчө аныктаңыз. Бир ат чечилиши үчүн бүт LANга уруксат берүү тапшырма талап кылгандан алда канча чоң өзгөрүү.

Пулга кайра маршруттоо менен булакты которуунун ортосунда аң-сезимдүү тандоо жасаңыз. Экөө тең иштейт, жана ар бири журналдардан башка нерсени жашырат.

Тапшырманы да, баш тартууну да сынаңыз

VPN колдонуучусунан бир кичинекей, купуя эмес тапшырма жибериңиз, анан баш тартылышы керек болгон LAN ресурсун жана firewallдын өзүнүн администрациялоо баракчасын сынап көрүңүз. Үч тест те бир сессияга таандык, анткени саясатты бүтүндөй көрүүнүн жалгыз жолу ушул. Жөн гана ийгиликтүү басып чыгаруу тапшырмасы чек жөнүндө дээрлик эч нерсени далилдебейт.

Жайылтууну принтер-гана деп атоодон мурун IPv6ны жана башка активдүү VPN жолун карап чыгыңыз. Бир даректер үй-бүлөсүндө тар эрежелер жыйындысы экинчисинде толук ачык болушу мүмкүн.