VPN хэрэглэгчид нэг принтер хэрэгтэй, бүх LAN биш

Дүрэм зөв харагдаж байхад принтер буцаад татгалзаж байна. Эсвэл принтер ажиллаж, мөн хэрэглэгч файлын серверт хүрч байна, энэ нь илүү муу. Хоёр үр дүн ихэвчлэн нэг газраас ирдэг: нарийн дүрмийг аль хэдийн илүү өргөн зүйлийг зөвшөөрсөн дүрмийн багцад нэмсэн. Бодит дарааллыг унших нь шинэ дүрэм бичихээс өмнө үр дүнг тайлбарладаг.

Шинж тэмдэг: нарийн дүрэм юу ч өөрчлөөгүй

Тусгай VPN пул, нэг принтерийн хаяг, TCP 631 дээрх зөвшөөрлийн дүрэм нь боломжийн загвар. Энэ нь огт өөрчлөлт авчрахгүй бол эхний сэжиг нь трафик тэр дүрэмд хэзээ ч хүрээгүй байх ёстой. Дүрэм нь үнэлгээний дарааллаар өөрийн байрлалд хүрсэн трафикийн талаар л шийддэг. Талбаруудыг шалгахад хялбар бөгөөд тэд алдааны шалтгаан ховор болдог.

Эсрэг шинжийг анзаарахгүй өнгөрөөх нь илүү хялбар. Хэвлэх ажил амжилттай болж, бас энэ хэрэглэгч хэзээ ч хүрэх ёсгүй байсан файл хуваалцалт руу холбогдох нь ч амжилттай болно. Энэ нь өмнө нь ямар нэгэн зүйл LAN-ыг аль хэдийн зөвшөөрсөн гэсэн үг.

Хоёр шинж хоёулаа шинэ дүрмийн талбарууд биш, дараалал руу зааж байна. Тэдний нэг нь хэзээ ч тохироогүй дүрэм, нөгөө нь хэт эрт тохирсон дүрэм.

Трафик бодитоор аль дүрмийн багцад хүрдэг вэ

pfSense дүрмүүдийг интерфейс тус бүрээр үнэлдэг бөгөөд OpenVPN-д өөрийн таб байдаг, түүний дүрмүүд сервер, клиентийн бүх инстанцад үйлчилнэ. Эдгээр дүрмүүд тодорхой OpenVPN интерфейст оноосон дүрмүүдээс өмнө боловсруулагддаг. Тиймээс OpenVPN таб дээр үлдээсэн өргөн зөвшөөрөл интерфейсийн таб юу ч гэсэн энэ хэрэглэгчид ч мөн үйлчилнэ. Тэр дарааллыг өөрчлөлтийн бүртгэлд хуулж бичээрэй, ингэснээр хяналт GUI нээхгүйгээр шалгах боломжтой.

Тиймээс шинэ нарийн зөвшөөрөл хандалтыг хасаж чадахгүй. Галт ханын дүрмүүд зөвшөөрөл нэмдэг бөгөөд өмнөх тохиролцооноос үүнийг авч хаядаггүй.

Бодит жагсаалтыг дээрээс уншаад трафиктай тохирох эхний дүрэм дээр зогсоорой. Тэр эхний тохирол бол шийдвэр бөгөөд түүний доорх бүхэн тэр урсгалд хүрэх боломжгүй.

Зөвшөөрлийн дүрмийг хэвлэх ажлаас бичээрэй

Принтерээс биш, ажлаас эхлээрэй. Хэрэглэгчид принтерийн хаяг дээрх хэвлэх үйлчилгээ хэрэгтэй тул дүрэм тэр хаяг, тэр протокол, тэр портыг нэрлэнэ. VPN пулын далд нэр, принтерийн далд нэр нь дүрмийг уншихад хялбар байлгана.

Ид шидтэнг хэт баярлуулахын тулд илрүүлэх эсвэл удирдлагын порт нэмэх уруу таталтад эсэргүүцээрэй. Бүх принтерийг зөвшөөрдөг дүрэм нь хэвлэх дарааллыг зөвшөөрдөг дүрмээс өөр бодлого.

Принтерийн өөрийн баталгаажуулалтыг байранд нь үлдээгээрэй. Сүлжээний зөвшөөрөл түүнийг орлодоггүй. Дарааллын түвшний бүртгэл нь хэн юуг хэвлэж болохыг зөв хянах хэрэгсэл.

Зургаан утга бүх санааг агуулна: үйлдэл хэлбэрээр зөвшөөрөл, гэр бүл хэлбэрээр IPv4, протокол хэлбэрээр TCP, эх сурвалж хэлбэрээр пулын далд нэр, очих газар хэлбэрээр принтерийн далд нэр, порт хэлбэрээр 631. Эдгээр зургаагаас хэтэрсэн бүхэн шаардсанаас өөр бодлого.

Клиентэд LAN-ын зөвшөөрөлгүйгээр зам өгөөрэй

Клиентэд принтерийн хаяг руу маршрут хэрэгтэй, оффисын талд VPN пул руу хариу зам хэрэгтэй. Нэг /32 түлхэх нь клиентийн тохиргоог нарийн байлгаж, алдаа олоход тусална. Энэ нь эрх олгох хил биш, учир нь клиент өөрөө маршрут нэмж болно.

Дарааллыг нэрээр хаягласан бол шийдэгчээс хамаарах хамаарлыг тусад нь тодорхойлоорой. Нэг нэрийг шийдэхийн тулд бүх LAN-ыг зөвшөөрөх нь ажлын шаардлагаас хамаагүй том өөрчлөлт.

Пул руу буцах маршрутжуулалт ба эх сурвалжийн орчуулгын хооронд ухамсартайгаар сонгоорой. Хоёулаа ажилладаг бөгөөд тус бүр логоос өөр зүйл нуудаг.

Ажилтай зэрэгцэн татгалзлыг ч шалгаарай

VPN хэрэглэгчээс нэг жижиг, нууцлалгүй ажил илгээгээд, дараа нь татгалзах ёстой LAN нөөц болон галт ханын өөрийн удирдлагын хуудсыг туршаарай. Гурван тест нэг сессэд хамаарна, учир нь бодлогыг бүхэлд нь харах цорын ганц арга зам энэ. Зөвхөн амжилттай хэвлэх ажил хилийн талаар бараг юу ч баталдаггүй.

Байршуулалтыг зөвхөн-принтер гэж нэрлэхийн өмнө IPv6 болон бусад идэвхтэй VPN замыг хянаарай. Нэг хаягийн гэр бүлд нарийн дүрмийн багц нөгөөд бүрэн нээлттэй байж болно.