NAT tal-ħruġ f'pfSense: aqra l-ewwel ir-regoli ġġenerati

Iftaħ Firewall, imbagħad NAT, imbagħad Outbound, u aqra l-mod qabel ma żżid xejn. Fil-mod Automatic, pfSense jiġġenera regoli għall-interfaces WAN u, fosthom, għan-networks tal-VPN għall-aċċess mill-bogħod, għalhekk il-pool li se żżid spiss diġà huwa kopert. Linja miktuba bl-idejn li tonqos mhijiex prova li t-traduzzjoni tonqos. L-ordni hawn taħt iżżommok milli tibdel il-firewall kollu għal Manual biex issolvi pool wieħed.

Il-mod jiddeċiedi min iżomm it-traduzzjoni għal kull network ieħor fuq il-kaxxa, u din hija deċiżjoni akbar minn eċċezzjoni waħda tal-VPN.

Il-mod Automatic diġà jkopri l-pool tal-VPN

Kull mod għandu proprjetarju differenti. Automatic jiġġenera regoli għall-interfaces WAN u jinkludi n-networks tal-VPN għall-aċċess mill-bogħod fost is-sorsi tiegħu. Hybrid iżomm dawk ir-regoli ġġenerati u jħallik iżżid regoli manwali ħdejhom. Manual jieqaf jiġġenera xejn, għalhekk kull traduzzjoni fuq il-firewall issir responsabbiltà tiegħek, inkluż dawk li ma ktibtx. Ir-raba' setting jiddiżattiva għal kollox in-NAT tal-ħruġ. Linja li tidher miktuba bl-idejn ma tipprova xejn sakemm ma tkunx taf liema mod huwa attiv.

Fl-Automatic u fil-Hybrid il-paġna turi wkoll ir-regoli ġġenerati. Aqrahom qabel ma tikkonkludi li pool tal-VPN m'għandux traduzzjoni: fittex in-network tal-pool fil-kolonna tas-sors u l-interface WAN fil-kolonna tal-interface.

Agħżel Hybrid biss għal eċċezzjoni riveduta

Eċċezzjoni ddokumentata għadha possibbli meta l-politika tal-ħruġ tkun tassew differenti. Immaġina server li jqassam 10.90.0.0/24, fejn il-firewall għandu jipprovdi ħruġ tal-internet IPv4 u r-routing diġà jagħżel WAN. It-trasformazzjoni mistennija hija li s-sors 10.90.0.23 jerġa' jinkiteb lejn l-indirizz WAN. Iċċekkja jekk regola ġġenerata diġà tagħmilx dan fuq dak il-ħruġ; jekk le, Hybrid iżomm il-kopertura awtomatika u jżid ir-regola riveduta tiegħek.

Uża l-pool tal-VPN attwali bħala sors, jew alias appoġġjat għalih, u qatt ma tagħżel indirizz mhux relatat biss għax l-isem tal-istanza OpenVPN jonqos minn picker. Evita sors any, li wkoll jittraduċi traffiku li l-firewall innifsu joħloq.

Tibdilx il-firewall kollu għal Manual għal pool wieħed. Dik id-deċiżjoni terġa' tassenja l-manutenzjoni għal kull network intern u kull bidla WAN fil-futur.

In-NAT ma jagħżilx il-ħruġ

Ir-routing jagħżel l-interface tal-ħruġ; regola tan-NAT tal-ħruġ tiddeskrivi biss kif is-sors jerġa' jinkiteb ladarba l-packet joħroġ. Mapping għall-WAN ma jġegħilx packet li r-routing bagħat x'imkien ieħor biex imur mill-WAN, u għalhekk iż-żieda tan-NAT ma tistax tissewwi rotta ħażina. Spezzjona wkoll l-entrati tan-NAT 1:1 u l-eċċezzjonijiet applikabbli, għax l-ordni hija importanti u linja ġdida mhux bilfors tirbaħ. U l-paġna tal-ħruġ mhijiex il-paġna tal-filtrazzjoni.

Sors tradott mhuwiex permess biex tasal għal kull destinazzjoni. Il-klijenti għadhom jeħtieġu rotta mit-tunnel u regola tal-firewall li tammetti t-traffiku tagħhom, u l-ħruġ magħżul jeħtieġ triq tar-ritorn li taħdem. Żomm l-aċċess għal-LAN biss separat mill-permess tal-ħruġ għall-internet.

Ipprova t-trasformazzjoni fuq konnessjoni ġdida

Wara bidla approvata, ittestja b'konnessjoni ġdida awtorizzata minflok terġa' tuża waħda eżistenti, għax l-istati stabbiliti jżommu t-trasformazzjoni preċedenti tagħhom. Ikkonferma l-indirizz tas-sors li fil-fatt joħroġ mill-WAN u li t-tweġiba terġa' lura mill-istess stat. Tħarritx it-tabella tal-istati kollha bħala l-ewwel pass; dan jaħbi liema regola bidlet ir-riżultat. Irreġistra l-mod, ir-regola, il-pool u l-ħruġ fit-ticket tal-bidla.

Dan l-eżempju jkopri biss il-ħruġ IPv4. Ma jgħid xejn dwar traduzzjoni jew politika ta' filtrazzjoni IPv6, u disinn li jeħtieġ waħda jrid jiddikjaraha separatament. Ir-rekord lest jelenka t-traffiku tal-klijent permess, l-interface li jġorru, u r-raġuni għalfejn is-sors jeħtieġ li jerġa' jinkiteb.