pfSense išeinantis NAT: pirmiausia perskaitykite sugeneruotas taisykles

Atidarykite Firewall, tada NAT, tada Outbound ir perskaitykite režimą prieš ką nors pridėdami. Automatic režimu pfSense generuoja taisykles WAN sąsajoms ir, tarp jų, nuotolinės prieigos VPN tinklams, todėl telkinys, kurį ketinate pridėti, dažnai jau yra apimtas. Trūkstama ranka rašyta eilutė neįrodo, kad trūksta vertimo. Toliau pateikta tvarka neleis jums perjungti visos ugniasienės į Manual vienam telkiniui išspręsti.

Režimas nusprendžia, kas prižiūri vertimą kiekvienam kitam įrenginio tinklui, ir tai didesnis sprendimas nei viena VPN išimtis.

Automatic režimas jau apima VPN telkinį

Kiekvienas režimas turi skirtingą savininką. Automatic generuoja taisykles WAN sąsajoms ir į savo šaltinius įtraukia nuotolinės prieigos VPN tinklus. Hybrid išlaiko tas sugeneruotas taisykles ir leidžia šalia jų pridėti rankines. Manual nustoja ką nors generuoti, todėl kiekvienas ugniasienės vertimas tampa jūsų atsakomybe, įskaitant tuos, kurių nerašėte. Ketvirtasis nustatymas visiškai išjungia išeinantį NAT. Eilutė, kuri atrodo rašyta ranka, nieko neįrodo, kol nežinote, kuris režimas aktyvus.

Automatic ir Hybrid režimuose puslapis taip pat rodo sugeneruotas taisykles. Perskaitykite jas prieš darydami išvadą, kad VPN telkinys neturi vertimo: šaltinio stulpelyje ieškokite telkinio tinklo, o sąsajos stulpelyje – WAN sąsajos.

Hybrid rinkitės tik peržiūrėtai išimčiai

Dokumentuota išimtis vis dar įmanoma, kai išėjimo politika tikrai skiriasi. Įsivaizduokite serverį, kuris dalija 10.90.0.0/24, kai ugniasienė turi užtikrinti IPv4 interneto išėjimą, o maršrutizavimas jau renkasi WAN. Tikimasi, kad šaltinis 10.90.0.23 bus perrašytas WAN adresu. Patikrinkite, ar sugeneruota taisyklė tai jau daro tame išėjime; jei ne, Hybrid išsaugo automatinį aprėptį ir prideda jūsų peržiūrėtą taisyklę.

Kaip šaltinį naudokite tikrą VPN telkinį arba jam palaikomą slapyvardį ir niekada nesirinkite nesusijusio adreso vien todėl, kad OpenVPN egzemplioriaus pavadinimo nėra parinkiklyje. Venkite šaltinio any, kuris taip pat verčia srautą, kurį generuoja pati ugniasienė.

Neperkelkite visos ugniasienės į Manual dėl vieno telkinio. Šis sprendimas perskirsto priežiūrą kiekvienam vidiniam tinklui ir kiekvienam būsimam WAN pakeitimui.

NAT neparenka išėjimo

Išėjimo sąsają parenka maršrutizavimas; išeinanti NAT taisyklė tik aprašo, kaip šaltinis perrašomas po to, kai paketas išvyksta. WAN susiejimas nepriverčia paketo, kurį maršrutizavimas nusiuntė kitur, eiti per WAN, todėl pridėti NAT negali pataisyti neteisingo maršruto. Patikrinkite ir taikytinus 1:1 NAT įrašus bei išimtis, nes tvarka svarbi ir nauja eilutė nebūtinai laimi. O išeinantis puslapis nėra filtravimo puslapis.

Išverstas šaltinis nėra leidimas pasiekti bet kurią paskirties vietą. Klientams vis dar reikia maršruto per tunelį ir ugniasienės taisyklės, kuri priima jų srautą, o pasirinktam išėjimui reikia veikiančio grįžimo kelio. Laikykite tik LAN prieigą atskirai nuo interneto išėjimo leidimo.

Įrodykite transformaciją naujame prisijungime

Po patvirtinto pakeitimo bandykite nauju įgaliotu prisijungimu, o ne naudokite esamo iš naujo, nes nusistovėjusios būsenos išlaiko ankstesnę transformaciją. Patvirtinkite šaltinio adresą, kuris iš tikrųjų palieka WAN, ir kad atsakymas grįžta per tą pačią būseną. Neišvalykite visos būsenų lentelės kaip pirmo žingsnio; tai pasliepia, kuri taisyklė pakeitė rezultatą. Įrašykite režimą, taisyklę, telkinį ir išėjimą į pakeitimo bilietą.

Šis pavyzdys apima tik IPv4 išėjimą. Jis nieko nesako apie IPv6 vertimą ar filtravimo politiką, o projektas, kuriam to reikia, turi tai nurodyti atskirai. Galutinis įrašas išvardija leidžiamą kliento srautą, jį nešančią sąsają ir priežastį, kodėl šaltinį apskritai reikia perrašyti.