Een VPN-gebruiker heeft één printer nodig, niet het hele LAN

De regel ziet er goed uit en de printer weigert nog steeds. Of de printer werkt en dezelfde gebruiker bereikt ook de fileserver, wat erger is. Beide uitkomsten komen meestal van dezelfde plek: de smalle regel is toegevoegd aan een regelset die al iets breders toestond. Het lezen van de effectieve volgorde verklaart het resultaat voordat een nieuwe regel wordt geschreven.

Het symptoom: de smalle regel veranderde niets

Een speciale VPN-pool, één printeradres en een toestemmingsregel op TCP 631 is een redelijk ontwerp. Als het helemaal geen verandering oplevert, moet het eerste vermoeden zijn dat het verkeer die regel nooit heeft bereikt. Een regel beslist alleen over verkeer dat op zijn positie in de evaluatievolgorde aankomt. De velden zijn eenvoudig te controleren en zijn zelden de oorzaak van de fout.

Het tegenovergestelde symptoom is makkelijker te missen. De afdruktaak lukt, en ook een verbinding naar een bestandsshare die deze gebruiker nooit zou mogen bereiken. Dat betekent dat iets eerders het LAN al had toegestaan.

Beide symptomen wijzen op de volgorde en niet op de velden van de nieuwe regel. De ene is een regel die nooit overeenkwam, de andere een regel die te vroeg overeenkwam.

Welke regelset het verkeer werkelijk raakt

pfSense evalueert regels per interface, en OpenVPN heeft een eigen tab waarvan de regels voor elke server- en clientinstantie gelden. Die regels worden verwerkt vóór de regels die aan een specifieke OpenVPN-interface zijn toegewezen. Een brede toestemming die op het OpenVPN-tab blijft staan, geldt dus ook voor deze gebruiker, wat het interfacetab ook zegt. Kopieer die volgorde naar het wijzigingsverslag zodat de beoordeling die kan controleren zonder de GUI te openen.

Daarom kan een nieuwe smalle toestemming geen toegang afnemen. Firewallregels voegen toestemming toe en nemen die niet weg bij een eerdere overeenkomst.

Lees de effectieve lijst van boven naar beneden en stop bij de eerste regel die bij het verkeer past. Die eerste overeenkomst is de beslissing, en alles eronder is onbereikbaar voor dat verkeer.

Schrijf de toestemmingsregel vanuit de afdruktaak

Begin bij de taak en niet bij de printer. De gebruiker heeft de afdrukservice op het printeradres nodig, dus de regel noemt dat adres, dat protocol en die poort. Een alias voor de VPN-pool en een alias voor de printer houden de regel leesbaar.

Weersta de neiging om ontdekkings- of beheerpoorten toe te voegen om een wizard tevredener te maken. Een regel die de hele printer toelaat, is een ander beleid dan een die een afdrukwachtrij toelaat.

Laat de eigen authenticatie van de printer staan. Een netwerkgunning vervangt die niet. Een account op wachtrijniveau is de juiste controle voor wie wat mag afdrukken.

Zes waarden dragen de hele bedoeling: toestemming als actie, IPv4 als familie, TCP als protocol, de poelalias als bron, de printeralias als bestemming en 631 als poort. Alles buiten die zes is een ander beleid dan het gevraagde.

Geef de client een pad zonder LAN-toestemming

De client heeft een route naar het printeradres nodig, en de kantoorzijde een antwoordpad naar de VPN-pool. Eén enkele /32 pushen houdt de clientconfiguratie smal, wat helpt bij het oplossen van problemen. Het is niet de autorisatiegrens, want een client kan zelf routes toevoegen.

Wordt de wachtrij op naam aangesproken, definieer de resolverafhankelijkheid dan apart. Het hele LAN toestaan zodat één naam wordt opgelost, is een veel grotere wijziging dan de taak vraagt.

Kies bewust tussen terugrouteren naar de pool en het vertalen van de bron. Beide werken, en elk verbergt iets anders voor de logboeken.

Test de weigering net zo goed als de taak

Dien een kleine, niet-gevoelige taak in vanaf de VPN-gebruiker en probeer daarna een LAN-bron die geweigerd zou moeten worden en de beheerpagina van de firewall zelf. Alle drie de tests horen bij dezelfde sessie, want dat is de enige manier om het beleid als geheel te zien. Een geslaagde afdruktaak alleen bewijst bijna niets over de grens.

Controleer IPv6 en elk ander actief VPN-pad voordat u de uitrol alleen-printer noemt. Een regelset die in de ene adresfamilie smal is, kan in de andere volledig open staan.