E VPN-Benotzer brauch een Drucker, net dat ganzt LAN

D’Reegel gesäit richteg aus an den Drucker refuséiert nach ëmmer. Oder den Drucker funktionéiert an dee selwechte Benotzer erreecht och de Fichierserver, wat méi schlëmm ass. Béid Resultater kommen normalerweis vun der selwechter Plaz: déi schmuel Reegel gouf un eng Regelblock bäigefüügt, déi schonn eppes méi Breet erlaabt huet. D’Liesen vun der effektiver Uerdnung erkläert d’Resultat, ier eng nei Reegel geschriwwe gëtt.

D’Symptom: déi schmuel Reegel huet näischt geännert

E justéierte VPN-Pool, eng Druckeradress an eng Erlaabnesregel op TCP 631 sinn en vernünftegen Design. Wann et guer keng Ännerung bréngt, sollt den éischte Verdacht sinn, datt den Traffic déi Reegel ni erreecht huet. Eng Reegel entscheet nëmme fir Traffic, deen op senger Positioun an der Evaluatiounsuerdnung ukommt. D’Felder si liicht ze préifen a si selten de Grond fir de Feelschlag.

Déi entgéintgesate Symptom ass méi liicht ze iwwersinn. Den Dréckjob geet duerch, an och eng Verbindung zu enger Fichierdeelung, déi dëse Benotzer ni sollt erreechen. Dat heescht, eppes méi fréi huet d’LAN schonn erlaabt.

Béid Symptomer weisen op d’Uerdnung an net op d’Felder vun der neier Reegel. Een dovun ass eng Reegel, déi ni gepasst huet, an deen aneren ass eng Reegel, déi ze fréi gepasst huet.

Wéi eng Regelblock den Traffic tatsächlech trëfft

pfSense evaluéiert Reegelen pro Interface, an OpenVPN huet säin eegenen Tab, deem seng Reegelen fir all Server- a Clientinstanz gëllen. Dës Reegelen ginn veraarbecht, ier d’Reegelen, déi engem bestëmmten OpenVPN-Interface zougewise sinn. Eng breet Erlaabnes, déi um OpenVPN-Tab bleift, gëllt dowéinst och fir dëse Benotzer, egal wat den Interface-Tab seet. Kopéiert dës Uerdnung an den Ännerungsprotokoll, sou datt d’Iwwerpréiwung se ouni Opmaache vun der GUI kontrolléiere kann.

Dofir kann eng nei schmuel Erlaabnes keen Zougang ewechhuelen. Firewallreegelen fügen Erlaabnes derbäi an huelen se enger fréierer Passung net ewech.

Liest déi effektiv Lëscht vun uewen a stoppt bei der éischter Reegel, déi mam Traffic iwwerenee kënnt. Déi éischt Passung ass d’Entscheedung, an alles drënner ass fir dee Floss onereechbar.

Schreift d’Erlaabnesregel aus dem Dréckjob

Fänkt beim Job un an net beim Drucker. De Benotzer brauch den Dréckservice op der Druckeradress, dofir nennt d’Reegel déi Adress, dee Protokoll an dee Port. En Alias fir de VPN-Pool an en Alias fir den Drucker halen d’Reegel liesbar.

Widderstitt der Versuchung, Entdeckungs- oder Administratiounsporten derbäizesetzen, fir en Assistent méi glécklech ze maachen. Eng Reegel, déi den ganzen Drucker erlaabt, ass eng aner Politik wéi eng, déi eng Dréckwäitschl erlaabt.

Hält d’Authentifikatioun vum Drucker selwer op der Plaz. Eng Netzwierkerlaabnes ersetzt se net. En Kont op Wäitschlniveau ass déi richteg Kontroll dofir, wien wat drécken dierf.

Sechs Wäerter droen déi ganz Absicht: Erlaabnes als Aktioun, IPv4 als Famill, TCP als Protokoll, den Alias vum Pool als Quell, den Alias vum Drucker als Zil an 631 als Port. Alles iwwer dës sechs eraus ass eng aner Politik wéi déi gefrote.

Gitt dem Client e Wee ouni LAN-Erlaabnes

De Client brauch eng Route op d’Druckeradress, an d’Bürosäit brauch en Äntwertwee op de VPN-Pool. Eng eenzeg /32 ze pushen hält d’Clientkonfiguratioun schmuel, wat beim Diagnos hëlleft. Et ass net d’Autorisatiounsgrenz, well e Client selwer Route ka bäisetzen.

Wann d’Wäitschl iwwer den Numm adresséiert gëtt, definéiert d’Resolverbofhängegkeet getrennt. Dat ganzt LAN ze erlaben, fir datt een Numm opgeléist gëtt, ass eng vill méi grouss Ännerung wéi den Job verlaangt.

Wielt bewosst tëscht dem Zeréckroute an de Pool an dem Iwwersetzen vun der Quell. Béides funktionéiert, an all eenzelt verstoppt eppes anescht virun de Loggen.

Test souwuel d’Refus wéi och den Job

Schéckt een eenzegen, onempfindlechen Job vum VPN-Benotzer, probéiert dann eng LAN-Ressource, déi refuséiert misst ginn, an d’Administratiounssäit vum Firewall selwer. All dräi Tester gehéieren an déi selwecht Sitzung, well dat déi eenzeg Manéier ass, d’Politik als Ganzt ze gesinn. En erfollegräichen Dréckjob eleng beweist bal näischt iwwer d’Grenz.

Iwwerpréift IPv6 an all anere aktive VPN-Wee, ier Dir d’Deployment just-Drucker nennt. E Regelblock, deen an enger Adressfamill schmuel ass, kann an der anerer komplett oppe sinn.