pfSense излезен NAT: прво прочитајте ги генерираните правила

Отворете Firewall, потоа NAT, потоа Outbound и прочитајте го режимот пред да додадете било што. Во режимот Automatic pfSense генерира правила за WAN интерфејсите и, меѓу нив, за мрежите на VPN за далечински пристап, па базенот што сакате да го додадете често е веќе покриен. Недостатокот на рачно напишан ред не е доказ дека недостасува преводот. Редоследот подолу ве спречува да го префрлите целиот firewall на Manual за да решите еден базен.

Режимот одлучува кој го одржува преводот за секоја друга мрежа на уредот, а тоа е поголема одлука од еден VPN исклучок.

Режимот Automatic веќе го покрива базенот на VPN

Секој режим има различен сопственик. Automatic генерира правила за WAN интерфејсите и ги вклучува мрежите на VPN за далечински пристап меѓу своите извори. Hybrid ги задржува тие генерирани правила и ви дозволува да додадете рачни покрај нив. Manual престанува да генерира што и да е, па секој превод на firewall-от станува ваша одговорност, вклучително и оние што не сте ги напишале. Четвртата поставка целосно го исклучува излезниот NAT. Ред што изгледа рачно напишан не докажува ништо додека не знаете кој режим е активен.

Во Automatic и Hybrid страницата ги прикажува и генерираните правила. Прочитајте ги пред да заклучите дека базенот на VPN нема превод: побарајте ја мрежата на базенот во колоната за извор и WAN интерфејсот во колоната за интерфејс.

Изберете Hybrid само за прегледан исклучок

Документиран исклучок се уште е возможен кога излезната политика навистина се разликува. Замислете сервер што доделува 10.90.0.0/24, каде firewall-от треба да обезбеди IPv4 интернет излез, а рутирањето веќе избира WAN. Очекуваната трансформација е изворот 10.90.0.23 да се препише на WAN адресата. Проверете дали генерираното правило тоа го прави веќе на тој излез; ако не, Hybrid ја задржува автоматската покриеност и го додава вашето прегледано правило.

Користете го вистинскиот базен на VPN како извор, или поддржан псевдоним за него, и никогаш не избирајте неповрзана адреса само затоа што името на примерокот OpenVPN недостасува во избирачот. Избегнувајте извор any, кој исто така го преведува сообраќајот што самиот firewall го создава.

Не префрлајте го целиот firewall на Manual поради еден базен. Таа одлука ја прераспределува одржувањето за секоја внатрешна мрежа и секоја идна WAN промена.

NAT не го избира излезот

Рутирањето го избира излезниот интерфејс; излезното NAT правило само опишува како изворот се препишува откако пакетот ќе излезе. Мапирањето за WAN не го принудува пакетот што рутирањето го испратило на друго место да оди преку WAN, затоа додавањето NAT не може да поправи погрешна рута. Проверете ги и применливите 1:1 NAT записи и исклучоци, бидејќи редоследот е важен и новиот ред не победува нужно. И излезната страница не е страницата за филтрирање.

Преведениот извор не е дозвола да се достигне секоја дестинација. Клиентите се уште бараат рута низ тунелот и firewall правило што го прифаќа нивниот сообраќај, а избраниот излез бара работна повратна патека. Држете го пристапот само до LAN одвоен од дозволата за интернет излез.

Докажете ја трансформацијата на нова врска

По одобрена промена, тестирајте со нова авторизирана врска наместо повторно да користите постоечка, бидејќи воспоставените состојби ја задржуваат претходната трансформација. Потврдете ја адресата на изворот што навистина го напушта WAN и дека одговорот се враќа низ истата состојба. Не ја исчистувајте целата табела на состојби како прв чекор; тоа крие кое правило го променило исходот. Запишете ги режимот, правилото, базенот и излезот во билетот за промена.

Овој пример покрива само излез по IPv4. Не кажува ништо за превод или политика за филтрирање на IPv6, а дизајнот што ја бара тоа мора да го наведе одделно. Завршениот запис ги наведува дозволениот клиентски сообраќај, интерфејсот што го носи и причината зошто изворот воопшто треба да се препише.