pfSense ausgehend NAT: liest fir d'éischt déi generéiert Regelen

Maacht Firewall op, duerno NAT, duerno Outbound, a liest de Modus ier Dir eppes bäifüügt. Am Automatic-Modus generéiert pfSense Regele fir d'WAN-Interfaces an, dorënner, fir remote-access-VPN-Netzwierker, sou datt de Pool, deen Dir bäifüge wëllt, dacks schonn ofgedeckt ass. Eng fehlend handgeschriwwe Zeil ass kee Beweis, datt d'Iwwersetzung feelt. D'Reiefolleg hei drënner hält Iech dovun of, de ganze Firewall op Manual ze stellen, fir een eenzegen Pool ze léisen.

De Modus entscheet, wien d'Iwwersetzung fir all anert Netzwierk op der Këscht ënnerhält, an dat ass eng gréisser Entscheedung wéi eng eenzeg VPN-Ausnam.

Den Automatic-Modus deckt de VPN-Pool schonn of

All Modus huet en eegene Proprietär. Automatic generéiert Regele fir d'WAN-Interfaces a bezitt remote-access-VPN-Netzwierker a seng Quellen a mat. Hybrid behält déi generéiert Regele bei an erlaabt Iech, manuell derbäi ze setzen. Manual hält op, eppes ze generéieren, sou datt all Iwwersetzung um Firewall Är Verantwortung gëtt, och déi, déi Dir net geschriwwen hutt. Eng véiert Astellung desaktivéiert ausgehend NAT komplett. Eng Zeil, déi handgeschriwwen ausgesäit, beweist näischt, bis Dir wësst, wéi ee Modus aktiv ass.

Am Automatic an Hybrid weist d'Säit och déi generéiert Regele. Liest se, ier Dir schléisst, datt e VPN-Pool keng Iwwersetzung huet: sicht d'Netzwierk vum Pool an der Quellkolonn an d'WAN-Interface an der Interfacekolonn.

Wielt Hybrid nëmmen fir eng gepréift Ausnam

Eng dokumentéiert Ausnam ass nach ëmmer méiglech, wann d'Egress-Politik wierklech anescht ass. Stellt Iech e Server vir, deen 10.90.0.0/24 verdeelt, wou de Firewall IPv4-Internetzougang soll ubidden an d'Routing schonn WAN wielt. Déi erwaart Transformatioun ass, datt d'Quell 10.90.0.23 op d'WAN-Adress ëmgeschriwwe gëtt. Preift, ob eng generéiert Regel dat op deem Ausgang schonn mécht; wann net, behält Hybrid déi automatesch Ofdeckung a setzt Är gepréift Regel derbäi.

Benotzt de richtege VPN-Pool als Quell, oder en ënnerstëtzten Alias dofir, a wielt ni eng onverbonnen Adress just well den Numm vun der OpenVPN-Instanz an engem Auswieler feelt. Vermeit eng Quell any, déi och de Verkéier iwwersetzt, deen de Firewall selwer erstellt.

Stellt net de ganze Firewall op Manual wéinst engem Pool. Déi Entscheedung verdeelt d'Ënnerhaltung fir all intern Netzwierk an all zukünfteg WAN-Ännerung nei.

NAT wielt den Ausgang net

D'Routing wielt den Ausgangsinterface; eng ausgehend NAT-Regel beschreift just, wéi d'Quell ëmgeschriwwe gëtt, wann e Paket fort ass. Eng Zueuerdnung fir WAN forcéiert kee Paket, deen d'Routing anzwousch anescht geschéckt huet, iwwer WAN, dofir kann NAT derbäisetzen eng falsch Route net reparéieren. Iwwerpréift och déi applicabel 1:1 NAT-Anträg an Ausnamen, well d'Reiefolleg zielt an eng nei Zeil net onbedéngt gewënnt. An d'Ausgangssäit ass net d'Filtersäit.

Eng iwwersat Quell ass keng Erlaabnis, all Zil z'erreechen. D'Clienten brauchen nach ëmmer eng Route duerch den Tunnel an eng Firewall-Regel, déi hire Verkéier zouléisst, an den ausgewielten Ausgang brauch e funktionéierende Retourwee. Halt de just-LAN-Zougang getrennt vun der Erlaabnis fir Internetausgang.

Beweist d'Transformatioun op enger neier Verbindung

No enger geneemegter Ännerung test mat enger neier autoriséierter Verbindung, amplaz eng bestoend erëm ze benotzen, well etabléiert Stati hir fréier Transformatioun behalen. Bestätegt d'Quelladress, déi tatsächlech WAN verléisst, an datt d'Äntwert duerch dee selwechte Stat zréckkënnt. Flasht net déi ganz Statstabell als éischte Schrëtt; dat verstoppt, wéi eng Regel d'Resultat geännert huet. Notéiert de Modus, d'Regel, de Pool an den Ausgang am Ännerungsticket.

Dëst Beispill deckt nëmmen den IPv4-Ausgang of. Et seet näischt iwwer eng IPv6-Iwwersetzung oder Filterpolitik, an en Design, deen eng brauch, muss dat separat uginn. Den fertige Rekord zielt de erlaabte Clientverkéier op, den Interface, deen en dréit, an de Grond, firwat d'Quell iwwerhaapt ëmgeschriwwe muss ginn.