VPN lietotājam vajag vienu printeri, nevis visu LAN

Noteikums izskatās pareizs, un printeris joprojām atsakās. Vai arī printeris darbojas un tas pats lietotājs sasniedz arī failu serveri, kas ir sliktāk. Abi rezultāti parasti nāk no vienas vietas: šaurais noteikums tika pievienots noteikumu kopai, kas jau atļāva kaut ko plašāku. Faktiskās secības lasīšana izskaidro rezultātu pirms jebkura jauna noteikuma rakstīšanas.

Simptoms: šaurais noteikums neko nemainīja

Īpašs VPN baseins, viena printera adrese un atļaušanas noteikums TCP 631 ir saprātīgs risinājums. Kad tas vispār nedod nekādas izmaiņas, pirmais aizdomas būtu, ka trafiks nekad nav sasniedzis šo noteikumu. Noteikums izlemj tikai par trafiku, kas nonāk tā pozīcijā vērtēšanas secībā. Laukus ir viegli pārbaudīt, un tie reti ir neveiksmes iemesls.

Pretējo simptomu ir vieglāk nepamanīt. Drukāšanas uzdevums izdodas, un arī savienojums ar failu koplietojumu, kuru šim lietotājam nekad nebija jāsasniedz. Tas nozīmē, ka kaut kas agrāks jau bija atļāvis LAN.

Abi simptomi norāda uz secību, nevis uz jaunā noteikuma laukiem. Viens no tiem ir noteikums, kas nekad nesakrita, bet otrs – noteikums, kas sakrita pārāk agri.

Kuru noteikumu kopu trafiks patiešām sasniedz

pfSense vērtē noteikumus pēc saskarnes, un OpenVPN ir sava cilne, kuras noteikumi attiecas uz katru servera un klienta instanci. Šie noteikumi tiek apstrādāti pirms noteikumiem, kas piešķirti konkrētai OpenVPN saskarnei. Tāpēc OpenVPN cilnē atstāta plaša atļauja attiecas arī uz šo lietotāju, lai ko teiktu saskarnes cilne. Nokopējiet šo secību izmaiņu ierakstā, lai pārskatīšana varētu to pārbaudīt, neatverot GUI.

Tāpēc jauna šaura atļauja nevar atņemt piekļuvi. Ugunsmūra noteikumi pievieno atļauju un neatņem to iepriekšējai sakritībai.

Lasiet faktisko sarakstu no augšas un apstājieties pie pirmā noteikuma, kas atbilst trafikam. Šī pirmā sakritība ir lēmums, un viss zem tās šim plūsmam nav sasniedzams.

Rakstiet atļaušanas noteikumu no drukāšanas uzdevuma

Sāciet ar uzdevumu, nevis ar printeri. Lietotājam vajag drukāšanas pakalpojumu printera adresē, tāpēc noteikums nosauc šo adresi, šo protokolu un šo portu. VPN baseina aizstājvārds un printera aizstājvārds notur noteikumu lasāmu.

Pretojieties kārdinājumam pievienot atklāšanas vai administrēšanas portus, lai iepriecinātu vedni. Noteikums, kas ielaiž visu printeri, ir cita politika nekā tas, kas ielaiž drukāšanas rindu.

Saglabājiet paša printera autentifikāciju. Tīkla atļauja to neaizstāj. Rindas līmeņa konts ir pareizā kontrole pār to, kurš ko drīkst drukāt.

Sešas vērtības nes visu nodomu: atļauja kā darbība, IPv4 kā saime, TCP kā protokols, baseina aizstājvārds kā avots, printera aizstājvārds kā galamērķis un 631 kā ports. Viss, kas pārsniedz šīs sešas, ir cita politika nekā pieprasītā.

Dodiet klientam ceļu bez LAN atļaujas

Klientam vajag maršrutu uz printera adresi, bet biroja pusei – atbildes ceļu uz VPN baseinu. Viena /32 nosūtīšana notur klienta konfigurāciju šauru, kas palīdz problēmu novēršanā. Tā nav autorizācijas robeža, jo klients pats var pievienot maršrutus.

Ja rinda tiek adresēta pēc nosaukuma, definējiet atkarību no atrisinātāja atsevišķi. Atļaut visu LAN, lai atrisinātu vienu nosaukumu, ir daudz lielāka izmaiņa, nekā uzdevums prasa.

Apzināti izvēlieties starp maršrutēšanu atpakaļ uz baseinu un avota tulkošanu. Abi darbojas, un katrs kaut ko citu paslēpj no žurnāliem.

Pārbaudiet gan atteikumu, gan uzdevumu

Nosūtiet vienu mazu, nekonfidenciālu uzdevumu no VPN lietotāja, pēc tam izmēģiniet LAN resursu, kas būtu jāatmet, un pašu ugunsmūra administrēšanas lapu. Visi trīs testi pieder vienai sesijai, jo tikai tā politika redzama kopumā. Vien veiksmīgs drukāšanas uzdevums par robežu gandrīz neko nepierāda.

Pārskatiet IPv6 un jebkuru citu aktīvu VPN ceļu, pirms dēvējat ieviešanu par tikai printeri. Noteikumu kopa, kas šaura vienā adrešu saimē, otrā var būt pilnīgi atvērta.