NAT keluar pfSense: baca peraturan yang dijana dahulu

Buka Firewall, kemudian NAT, kemudian Outbound, dan baca mod sebelum menambah apa-apa. Dalam mod Automatic, pfSense menjana peraturan untuk antara muka WAN dan, antaranya, untuk rangkaian VPN akses jauh, jadi kumpulan yang anda hendak tambah selalunya sudah diliputi. Ketiadaan baris tulisan tangan bukan bukti bahawa terjemahan tiada. Urutan di bawah menghalang anda daripada menukar seluruh tembok api kepada Manual untuk menyelesaikan satu kumpulan.

Mod menentukan siapa yang menyelenggara terjemahan untuk setiap rangkaian lain pada peranti, dan itu keputusan yang lebih besar daripada satu pengecualian VPN.

Mod Automatic sudah meliputi kumpulan VPN

Setiap mod mempunyai pemilik berbeza. Automatic menjana peraturan untuk antara muka WAN dan memasukkan rangkaian VPN akses jauh dalam sumbernya. Hybrid mengekalkan peraturan yang dijana itu dan membolehkan anda menambah peraturan manual di sebelahnya. Manual berhenti menjana apa-apa, jadi setiap terjemahan pada tembok api menjadi tanggungjawab anda, termasuk yang anda tidak tulis. Tetapan keempat mematikan NAT keluar sepenuhnya. Baris yang kelihatan ditulis tangan tidak membuktikan apa-apa sehingga anda tahu mod mana yang aktif.

Dalam Automatic dan Hybrid halaman juga memaparkan peraturan yang dijana. Bacanya sebelum membuat kesimpulan bahawa kumpulan VPN tiada terjemahan: cari rangkaian kumpulan itu dalam lajur sumber dan antara muka WAN dalam lajur antara muka.

Pilih Hybrid hanya untuk pengecualian yang telah disemak

Pengecualian yang didokumenkan masih mungkin apabila dasar keluar benar-benar berbeza. Bayangkan pelayan yang mengagihkan 10.90.0.0/24, di mana tembok api harus menyediakan jalan keluar internet IPv4 dan penghalaan sudah memilih WAN. Transformasi yang dijangka ialah sumber 10.90.0.23 ditulis semula kepada alamat WAN. Semak sama ada peraturan yang dijana sudah melakukannya pada jalan keluar itu; jika tidak, Hybrid mengekalkan liputan automatik sambil menambah peraturan yang anda semak.

Gunakan kumpulan VPN sebenar sebagai sumber, atau alias yang disokong untuknya, dan jangan sekali-kali memilih alamat tidak berkaitan hanya kerana nama instans OpenVPN tiada dalam pemilih. Elakkan sumber any, yang juga menterjemah trafik yang dihasilkan oleh tembok api sendiri.

Jangan pindahkan seluruh tembok api ke Manual kerana satu kumpulan. Keputusan itu memperuntukkan semula penyelenggaraan untuk setiap rangkaian dalaman dan setiap perubahan WAN masa depan.

NAT tidak memilih jalan keluar

Penghalaan memilih antara muka keluar; peraturan NAT keluar hanya menerangkan bagaimana sumber ditulis semula selepas paket keluar. Pemetaan untuk WAN tidak memaksa paket yang dihantar oleh penghalaan ke tempat lain untuk melalui WAN, sebab itulah menambah NAT tidak boleh membaiki laluan yang salah. Semak juga entri NAT 1:1 dan pengecualian yang berkenaan, kerana urutan penting dan baris baharu tidak semestinya menang. Dan halaman keluar bukan halaman penapis.

Sumber yang diterjemah bukan kebenaran untuk mencapai setiap destinasi. Klien masih memerlukan laluan melalui terowong dan peraturan tembok api yang menerima trafik mereka, dan jalan keluar yang dipilih memerlukan laluan balik yang berfungsi. Asingkan akses LAN sahaja daripada kebenaran keluar internet.

Buktikan transformasi pada sambungan baharu

Selepas perubahan diluluskan, uji dengan sambungan baharu yang dibenarkan dan bukan menggunakan semula sambungan sedia ada, kerana keadaan yang sudah terbentuk mengekalkan transformasi sebelumnya. Sahkan alamat sumber yang benar-benar keluar dari WAN dan balasan kembali melalui keadaan yang sama. Jangan kosongkan seluruh jadual keadaan sebagai langkah pertama; itu menyembunyikan peraturan mana yang mengubah hasil. Catat mod, peraturan, kumpulan dan jalan keluar dalam tiket perubahan.

Contoh ini hanya meliputi jalan keluar IPv4. Ia tidak menyatakan apa-apa tentang terjemahan atau dasar penapisan IPv6, dan reka bentuk yang memerlukannya mesti menyatakannya secara berasingan. Rekod akhir menyenaraikan trafik klien yang dibenarkan, antara muka yang membawanya, dan sebab sumbernya perlu ditulis semula.