На VPN корисникот му треба еден печатач, а не целата LAN

Правилото изгледа точно, а печатачот сѐ уште одбива. Или печатачот работи и истиот корисник стигнува и до датотечниот сервер, што е полошо. Двата резултати обично доаѓаат од истото место: тесното правило е додадено на множество правила што веќе дозволувало нешто пошироко. Читањето на ефективниот ред го објаснува резултатот пред да се напише ново правило.

Симптомот: тесното правило не промени ништо

Посветен VPN базен, една адреса на печатач и правило за дозвола на TCP 631 е разумен дизајн. Кога воопшто не дава промена, првото сомневање треба да биде дека сообраќајот никогаш не стигнал до тоа правило. Правилото одлучува само за сообраќајот што стигнува до неговата позиција во редот за оценување. Полињата лесно се проверуваат и ретко се причината за неуспехот.

Спротивниот симптом полесно се пропушта. Задачата за печатење успева, а исто така и врската до споделена датотека до која овој корисник никогаш не требало да стигне. Тоа значи дека нешто претходно веќе ја дозволило LAN.

Двата симптоми укажуваат на редот, а не на полињата на новото правило. Едниот е правило што никогаш не се поклопило, а другиот е правило што се поклопило прерано.

Кое множество правила сообраќајот навистина го погодува

pfSense ги оценува правилата по интерфејс, а OpenVPN има свој јазиче чии правила важат за секоја инстанца на сервер и клиент. Тие правила се обработуваат пред правилата доделени на одреден OpenVPN интерфејс. Затоа широка дозвола оставена на јазичето на OpenVPN важи и за овој корисник, што и да каже јазичето на интерфејсот. Копирајте го тој ред во записот за промена за да може прегледот да го провери без да го отвори GUI.

Затоа ново тесно правило не може да одземе пристап. Правилата на огнениот ѕид додаваат дозвола и не ја одземаат од претходно поклопување.

Читајте ја ефективната листа од горе и застанете на првото правило што се поклопува со сообраќајот. Тоа прво поклопување е одлуката, а сѐ под него е недостапно за тој тек.

Напишете го правилото за дозвола од задачата за печатење

Почнете од задачата, а не од печатачот. На корисникот му треба услугата за печатење на адресата на печатачот, па правилото ја именува таа адреса, тој протокол и тој порт. Алијас за VPN базенот и алијас за печатачот го држат правилото читливо.

Спротивставете се на додавањето порти за откривање или администрација за да го задоволите волшебникот. Правило што го пушта целиот печатач е друга политика од она што пушта ред за печатење.

Задржете ја сопствената автентикација на печатачот. Мрежната дозвола не ја заменува. Сметка на ниво на ред е вистинската контрола за тоа кој што може да печати.

Шест вредности ја носат целата намера: дозвола како дејство, IPv4 како семејство, TCP како протокол, алијасот на базенот како извор, алијасот на печатачот како одредиште и 631 како порт. Сѐ надвор од тие шест е друга политика од побараната.

Дајте му на клиентот пат без дозвола за LAN

На клиентот му треба рута до адресата на печатачот, а на канцелариската страна и повратен пат до VPN базенот. Испраќањето на една /32 ја држи конфигурацијата на клиентот тесна, што помага при дијагностика. Тоа не е границата на авторизацијата, бидејќи клиентот може сам да додаде рути.

Ако редот се адресира по име, дефинирајте ја зависноста од резолверот одделно. Дозволувањето на целата LAN за да се реши едно име е многу поголема промена отколку што бара задачата.

Свесно изберете помеѓу рутирање назад кон базенот и преведување на изворот. И двете работат, и секое крие нешто различно од дневниците.

Тестирајте го и одбивањето, како и задачата

Испратете една мала, нечувствителна задача од VPN корисникот, потоа пробајте LAN ресурс што треба да биде одбиен и самата административна страница на огнениот ѕид. Сите три теста припаѓаат на истата сесија, бидејќи тоа е единствениот начин да се види политиката како целина. Само успешна задача за печатење не докажува речиси ништо за границата.

Прегледајте го IPv6 и секој друг активен VPN пат пред да го наречете распоредувањето само-печатач. Множество правила што е тесно во едно семејство адреси може да биде целосно отворено во другото.