Pengguna VPN perlukan satu pencetak, bukan seluruh LAN

Peraturannya kelihatan betul dan pencetak masih menolak. Atau pencetak berfungsi dan pengguna yang sama juga boleh mencapai pelayan fail, yang lebih buruk. Kedua-dua hasil biasanya datang dari tempat yang sama: peraturan sempit ditambah kepada set peraturan yang sudah membenarkan sesuatu yang lebih luas. Membaca susunan berkesan menjelaskan hasilnya sebelum sebarang peraturan baharu ditulis.

Gejala: peraturan sempit tidak mengubah apa-apa

Kumpulan VPN khusus, satu alamat pencetak dan peraturan permit pada TCP 631 ialah reka bentuk yang wajar. Apabila ia tidak menghasilkan sebarang perubahan, syak wasangka pertama sepatutnya ialah trafik tidak pernah sampai ke peraturan itu. Peraturan hanya membuat keputusan untuk trafik yang tiba pada kedudukannya dalam susunan penilaian. Medannya mudah disemak dan jarang menjadi punca kegagalan.

Gejala sebaliknya lebih mudah terlepas pandang. Tugasan cetak berjaya, begitu juga sambungan ke perkongsian fail yang tidak sepatutnya dicapai oleh pengguna ini. Itu bermakna sesuatu yang lebih awal sudah membenarkan LAN.

Kedua-dua gejala menunjuk kepada susunan, bukan medan dalam peraturan baharu. Salah satunya ialah peraturan yang tidak pernah sepadan, dan yang lain ialah peraturan yang sepadan terlalu awal.

Set peraturan mana yang sebenarnya dilanggar trafik

pfSense menilai peraturan bagi setiap antara muka, dan OpenVPN mempunyai tabnya sendiri yang peraturannya terpakai pada setiap instans pelayan dan klien. Peraturan itu diproses sebelum peraturan yang diberikan kepada antara muka OpenVPN tertentu. Oleh itu permit luas yang ditinggalkan pada tab OpenVPN juga terpakai kepada pengguna ini, apa pun kata tab antara muka. Salin susunan itu ke dalam rekod perubahan supaya semakan dapat menyemaknya tanpa membuka GUI.

Itulah sebabnya permit sempit baharu tidak boleh mengambil semula akses. Peraturan firewall menambah kebenaran dan tidak mengambilnya daripada padanan terdahulu.

Baca senarai berkesan dari atas dan berhenti pada peraturan pertama yang sepadan dengan trafik. Padanan pertama itu ialah keputusan, dan semua di bawahnya tidak boleh dicapai untuk aliran itu.

Tulis peraturan permit daripada tugasan cetak

Mulakan daripada tugasan, bukan daripada pencetak. Pengguna memerlukan perkhidmatan cetak pada alamat pencetak, jadi peraturan menamakan alamat itu, protokol itu dan port itu. Alias untuk kumpulan VPN dan alias untuk pencetak memastikan peraturan itu mudah dibaca.

Lawan dorongan menambah port penemuan atau pentadbiran untuk menyenangkan wizard. Peraturan yang membenarkan seluruh pencetak ialah dasar yang berbeza daripada yang membenarkan baris gilir cetak.

Kekalkan pengesahan pencetak itu sendiri. Permit rangkaian bukan penggantinya. Akaun pada tahap baris gilir ialah kawalan yang betul bagi siapa boleh mencetak apa.

Enam nilai membawa seluruh niat: permit sebagai tindakan, IPv4 sebagai keluarga, TCP sebagai protokol, alias kumpulan sebagai sumber, alias pencetak sebagai destinasi dan 631 sebagai port. Apa-apa di luar enam itu ialah dasar yang berbeza daripada yang diminta.

Beri klien laluan tanpa permit LAN

Klien memerlukan laluan ke alamat pencetak, dan bahagian pejabat memerlukan laluan balasan ke kumpulan VPN. Menolak satu /32 mengekalkan konfigurasi klien sempit, yang membantu penyelesaian masalah. Itu bukan sempadan kebenaran, kerana klien boleh menambah laluan sendiri.

Jika baris gilir dialamatkan dengan nama, takrifkan kebergantungan penyelesai secara berasingan. Membenarkan seluruh LAN supaya satu nama dapat diselesaikan ialah perubahan yang jauh lebih besar daripada yang diperlukan oleh tugasan.

Pilih dengan sedar antara penghalaan balik ke kumpulan dan terjemahan sumber. Kedua-duanya berfungsi, dan setiap satu menyembunyikan sesuatu yang berbeza daripada log.

Uji penolakan serta tugasan

Hantar satu tugasan kecil dan tidak sensitif daripada pengguna VPN, kemudian cuba sumber LAN yang sepatutnya ditolak dan halaman pentadbiran firewall itu sendiri. Ketiga-tiga ujian tergolong dalam sesi yang sama, kerana itulah satu-satunya cara melihat dasar itu secara keseluruhan. Tugasan cetak yang berjaya sahaja hampir tidak membuktikan apa-apa tentang sempadan.

Semak IPv6 dan mana-mana laluan VPN aktif lain sebelum menyebut penggunaan itu pencetak sahaja. Set peraturan yang sempit dalam satu keluarga alamat boleh terbuka sepenuhnya dalam keluarga yang lain.