pfSense uitgaande NAT: lees eerst de gegenereerde regels

Open Firewall, dan NAT, dan Outbound, en lees de modus voordat u iets toevoegt. In de modus Automatic genereert pfSense regels voor de WAN-interfaces en, daaronder, voor remote-access-VPN-netwerken, dus de pool die u wilt toevoegen is vaak al gedekt. Een ontbrekende handgeschreven rij is geen bewijs dat de vertaling ontbreekt. De volgorde hieronder voorkomt dat u de hele firewall naar Manual zet om één pool op te lossen.

De modus bepaalt wie de vertaling onderhoudt voor elk ander netwerk op de machine, en dat is een grotere beslissing dan één VPN-uitzondering.

De modus Automatic dekt de VPN-pool al

Elke modus heeft een andere eigenaar. Automatic genereert regels voor de WAN-interfaces en neemt remote-access-VPN-netwerken op onder zijn bronnen. Hybrid houdt die gegenereerde regels en laat u handmatige ernaast toevoegen. Manual genereert niets meer, dus elke vertaling op de firewall wordt uw verantwoordelijkheid, ook degene die u niet hebt geschreven. Een vierde instelling schakelt uitgaande NAT volledig uit. Een rij die handgeschreven lijkt, bewijst niets totdat u weet welke modus actief is.

In Automatic en Hybrid toont de pagina ook de gegenereerde regels. Lees ze voordat u concludeert dat een VPN-pool geen vertaling heeft: zoek het netwerk van de pool in de bronkolom en de WAN-interface in de interfacekolom.

Kies Hybrid alleen voor een beoordeelde uitzondering

Een gedocumenteerde uitzondering blijft mogelijk wanneer het uitgaande beleid echt verschilt. Stel u een server voor die 10.90.0.0/24 uitdeelt, waar de firewall IPv4-internetuitgang moet bieden en routing al WAN kiest. De verwachte transformatie is dat bron 10.90.0.23 naar het WAN-adres wordt herschreven. Controleer of een gegenereerde regel dat op die uitgang al doet; zo niet, dan behoudt Hybrid de automatische dekking en voegt uw beoordeelde regel toe.

Gebruik de werkelijke VPN-pool als bron, of een ondersteunde alias daarvoor, en kies nooit een ongerelateerd adres alleen omdat de naam van de OpenVPN-instantie in een keuzelijst ontbreekt. Vermijd een bron any, die ook verkeer vertaalt dat de firewall zelf genereert.

Zet niet de hele firewall op Manual voor één pool. Die beslissing herverdeelt het onderhoud voor elk intern netwerk en elke toekomstige WAN-wijziging.

NAT kiest de uitgang niet

Routing kiest de uitgangsinterface; een uitgaande NAT-regel beschrijft alleen hoe de bron wordt herschreven zodra een pakket vertrekt. Een mapping voor WAN dwingt een pakket dat routing elders heen stuurde niet naar WAN, en daarom kan NAT toevoegen een verkeerde route niet repareren. Controleer ook toepasselijke 1:1 NAT-vermeldingen en uitzonderingen, want volgorde is belangrijk en een nieuwe rij wint niet noodzakelijk. En de uitgaande pagina is niet de filterpagina.

Een vertaalde bron is geen toestemming om elke bestemming te bereiken. Clients hebben nog steeds een route door de tunnel nodig en een firewallregel die hun verkeer toelaat, en de gekozen uitgang heeft een werkende terugweg nodig. Houd LAN-only toegang gescheiden van toestemming voor internetuitgang.

Bewijs de transformatie op een nieuwe verbinding

Test na een goedgekeurde wijziging met een nieuwe geautoriseerde verbinding in plaats van een bestaande te hergebruiken, omdat gevestigde staten hun eerdere transformatie behouden. Bevestig het bronadres dat daadwerkelijk WAN verlaat en dat het antwoord via dezelfde state terugkomt. Spoel niet de hele statustabel als eerste stap; dat verbergt welke regel de uitkomst veranderde. Noteer de modus, de regel, de pool en de uitgang in het wijzigingsticket.

Dit voorbeeld dekt alleen IPv4-uitgang. Het zegt niets over een IPv6-vertaling of filterbeleid, en een ontwerp dat er een nodig heeft, moet dat apart vermelden. Het voltooide record vermeldt het toegestane clientverkeer, de interface die het draagt, en de reden waarom de bron überhaupt herschreven moet worden.