VPN naudotojui reikia vieno spausdintuvo, o ne viso LAN

Taisyklė atrodo teisinga, o spausdintuvas vis tiek atsisako. Arba spausdintuvas veikia ir tas pats naudotojas pasiekia ir failų serverį, o tai blogiau. Abu rezultatai paprastai ateina iš tos pačios vietos: siaura taisyklė buvo pridėta prie taisyklių rinkinio, kuris jau leido ką nors platesnio. Galiojančios tvarkos skaitymas paaiškina rezultatą prieš rašant bet kokią naują taisyklę.

Simptomas: siaura taisyklė nieko nepakeitė

Skirtas VPN telkinys, vienas spausdintuvo adresas ir leidimo taisyklė TCP 631 yra pagrįstas sprendimas. Kai ji visiškai nesuteikia jokio pokyčio, pirmas įtarimas turėtų būti, kad srautas niekada nepasiekė šios taisyklės. Taisyklė sprendžia tik apie srautą, kuris pasiekia jos poziciją vertinimo tvarkoje. Laukus patikrinti lengva, ir jie retai būna nesėkmės priežastis.

Priešingą simptomą pastebėti lengviau. Spausdinimo užduotis pavyksta, o taip pat ir prisijungimas prie failų bendrinimo, kurio šis naudotojas niekada neturėjo pasiekti. Tai reiškia, kad kažkas ankstesnio jau leido LAN.

Abu simptomai rodo į tvarką, o ne į naujos taisyklės laukus. Vienas jų yra taisyklė, kuri niekada nesutapo, o kitas – taisyklė, kuri sutapo per anksti.

Kurį taisyklių rinkinį srautas iš tikrųjų pasiekia

pfSense vertina taisykles pagal sąsają, o OpenVPN turi savo skirtuką, kurio taisyklės taikomos kiekvienam serverio ir kliento egzemplioriui. Šios taisyklės apdorojamos prieš taisykles, priskirtas konkrečiai OpenVPN sąsajai. Todėl OpenVPN skirtuke paliktas platus leidimas galioja ir šiam naudotojui, ką bebūtų sakoma sąsajos skirtuke. Nukopijuokite šią tvarką į pakeitimo įrašą, kad peržiūra galėtų ją patikrinti neatidariusi GUI.

Štai kodėl naujas siauras leidimas negali atimti prieigos. Ugniasienės taisyklės prideda leidimą ir neatima jo iš ankstesnio sutapimo.

Skaitykite galiojantį sąrašą iš viršaus ir sustokite ties pirmąja taisykle, kuri atitinka srautą. Tas pirmasis sutapimas yra sprendimas, o viskas žemiau jo tam srautui nepasiekiama.

Rašykite leidimo taisyklę iš spausdinimo užduoties

Pradėkite nuo užduoties, o ne nuo spausdintuvo. Naudotojui reikia spausdinimo paslaugos spausdintuvo adresu, todėl taisyklė įvardija tą adresą, tą protokolą ir tą prievadą. VPN telkinio slapyvardis ir spausdintuvo slapyvardis palieka taisyklę įskaitomą.

Atsispirkite pagundai pridėti atradimo ar administravimo prievadus, kad vediklis būtų laimingesnis. Taisyklė, kuri įleidžia visą spausdintuvą, yra kita politika nei ta, kuri įleidžia spausdinimo eilę.

Palikite paties spausdintuvo autentifikaciją vietoje. Tinklo leidimas jos nepakeičia. Eilės lygio paskyra yra tinkama kontrolė, kas ką gali spausdinti.

Šešios reikšmės neša visą ketinimą: leidimas kaip veiksmas, IPv4 kaip šeima, TCP kaip protokolas, telkinio slapyvardis kaip šaltinis, spausdintuvo slapyvardis kaip paskirtis ir 631 kaip prievadas. Viskas, kas viršija šias šešias, yra kita politika nei prašyta.

Suteikite klientui kelią be LAN leidimo

Klientui reikia maršruto į spausdintuvo adresą, o biuro pusei – atsakomojo kelio į VPN telkinį. Vieno /32 stūmimas palieka kliento konfigūraciją siaurą, o tai padeda šalinti triktis. Tai nėra autorizacijos riba, nes klientas gali pats pridėti maršrutus.

Jei eilė adresuojama vardu, atskirai apibrėžkite priklausomybę nuo sprendiklio. Leisti visą LAN tam, kad būtų išspręstas vienas vardas, yra daug didesnis pakeitimas, nei reikalauja užduotis.

Sąmoningai rinkitės tarp maršrutizavimo atgal į telkinį ir šaltinio vertimo. Abu veikia, ir kiekvienas nuo žurnalų paslepia ką nors kito.

Išbandykite ir atmetimą, ir užduotį

Išsiųskite vieną mažą, nekonfidencialią užduotį iš VPN naudotojo, tada išbandykite LAN išteklių, kuris turėtų būti atmestas, ir pačią ugniasienės administravimo puslapį. Visi trys testai priklauso tai pačiai sesijai, nes tik taip politika matoma kaip visuma. Vien sėkminga spausdinimo užduotis apie ribą beveik nieko neįrodo.

Peržiūrėkite IPv6 ir bet kurį kitą aktyvų VPN kelią prieš vadindami diegimą tik spausdintuvo. Taisyklių rinkinys, siauras vienoje adresų šeimoje, kitoje gali būti visiškai atviras.