pfSense izejošais NAT: vispirms izlasiet ģenerētos noteikumus

Atveriet Firewall, tad NAT, tad Outbound, un izlasiet režīmu pirms kaut ko pievienot. Automatic režīmā pfSense ģenerē noteikumus WAN saskarnēm un, to starpā, attālinātās piekļuves VPN tīkliem, tāpēc baseins, kuru gatavojaties pievienot, bieži jau ir pārklāts. Trūkstoša ar roku rakstīta rinda neliecina, ka trūkst tulkojuma. Tālāk sniegtā secība neļauj jums pārslēgt visu ugunsmūri uz Manual, lai atrisinātu vienu baseinu.

Režīms nosaka, kas uztur tulkojumu katrai citai ierīces tīkla daļai, un tas ir lielāks lēmums par vienu VPN izņēmumu.

Automatic režīms jau pārklāj VPN baseinu

Katram režīmam ir savs īpašnieks. Automatic ģenerē noteikumus WAN saskarnēm un savos avotos iekļauj attālinātās piekļuves VPN tīklus. Hybrid saglabā šos ģenerētos noteikumus un ļauj blakus pievienot manuālos. Manual pārstāj kaut ko ģenerēt, tāpēc katrs ugunsmūra tulkojums kļūst par jūsu atbildību, tostarp tie, kurus neesat rakstījis. Ceturtais iestatījums pilnībā izslēdz izejošo NAT. Rinda, kas izskatās rakstīta ar roku, neko nepierāda, kamēr nezināt, kurš režīms ir aktīvs.

Automatic un Hybrid režīmos lapa rāda arī ģenerētos noteikumus. Izlasiet tos pirms secināt, ka VPN baseinam nav tulkojuma: avota kolonnā meklējiet baseina tīklu, bet saskarnes kolonnā – WAN saskarni.

Izvēlieties Hybrid tikai pārskatītam izņēmumam

Dokumentēts izņēmums joprojām ir iespējams, ja izejošā politika patiešām atšķiras. Iedomājieties serveri, kas izdala 10.90.0.0/24, kur ugunsmūrim jānodrošina IPv4 interneta izeja un maršrutēšana jau izvēlas WAN. Sagaidāmā pārveide ir avota 10.90.0.23 pārrakstīšana uz WAN adresi. Pārbaudiet, vai ģenerēts noteikums to jau dara šajā izejā; ja ne, Hybrid saglabā automātisko pārklājumu un pievieno jūsu pārskatīto noteikumu.

Kā avotu izmantojiet faktisko VPN baseinu vai tam atbalstītu aizstājvārdu, un nekad neizvēlieties nesaistītu adresi tikai tāpēc, ka OpenVPN instanču nosaukuma nav atlasītājā. Izvairieties no avota any, kas tulko arī ugunsmūra paša radīto trafiku.

Nepārslēdziet visu ugunsmūri uz Manual viena baseina dēļ. Šis lēmums pārdala uzturēšanu katram iekšējam tīklam un katrai turpmākai WAN izmaiņai.

NAT neizvēlas izeju

Izejošo saskarni izvēlas maršrutēšana; izejošais NAT noteikums tikai apraksta, kā avots tiek pārrakstīts pēc tam, kad pakete ir izgājusi. WAN kartējums neuzspiež paketei, ko maršrutēšana nosūtījusi citur, iet caur WAN, tāpēc NAT pievienošana nevar salabot nepareizu maršrutu. Pārbaudiet arī piemērojamos 1:1 NAT ierakstus un izņēmumus, jo secībai ir nozīme un jauna rinda ne vienmēr uzvar. Un izejošā lapa nav filtrēšanas lapa.

Tulkots avots nav atļauja sasniegt jebkuru galamērķi. Klientiem joprojām nepieciešams maršruts caur tuneli un ugunsmūra noteikums, kas pieņem viņu trafiku, un izvēlētajai izejai nepieciešams strādājošs atpakaļceļš. Turiet tikai LAN piekļuvi atsevišķi no interneta izejas atļaujas.

Pierādiet pārveidi jaunā savienojumā

Pēc apstiprinātas izmaiņas pārbaudiet ar jaunu autorizētu savienojumu, nevis atkārtoti izmantojiet esošo, jo izveidotie stāvokļi saglabā savu iepriekšējo pārveidi. Apstipriniet avota adresi, kas faktiski atstāj WAN, un ka atbilde atgriežas pa to pašu stāvokli. Neiztīriet visu stāvokļu tabulu kā pirmo soli; tas slēpj, kurš noteikums mainīja rezultātu. Ierakstiet režīmu, noteikumu, baseinu un izeju izmaiņu biļetē.

Šis piemērs aptver tikai IPv4 izeju. Tas neko nepasaka par IPv6 pārveidi vai filtrēšanas politiku, un projektam, kuram tas nepieciešams, tas jānorāda atsevišķi. Pabeigtais ieraksts uzskaita atļauto klienta trafiku, saskarni, kas to pārvadā, un iemeslu, kāpēc avots vispār ir jāpārraksta.