Użytkownikowi VPN potrzebna jest jedna drukarka, a nie cała sieć LAN

Reguła wygląda poprawnie, a drukarka nadal odmawia. Albo drukarka działa i ten sam użytkownik dociera też do serwera plików, co jest gorsze. Oba wyniki zwykle pochodzą z tego samego miejsca: wąską regułę dodano do zestawu reguł, który już zezwalał na coś szerszego. Odczytanie obowiązującej kolejności wyjaśnia wynik, zanim zostanie napisana jakakolwiek nowa reguła.

Objaw: wąska reguła niczego nie zmieniła

Dedykowana pula VPN, jeden adres drukarki i reguła zezwolenia na TCP 631 to rozsądny projekt. Gdy nie daje żadnej zmiany, pierwszym podejrzeniem powinno być to, że ruch nigdy nie dotarł do tej reguły. Reguła decyduje tylko o ruchu, który dotrze na jej pozycję w kolejności oceny. Pola łatwo sprawdzić i rzadko są przyczyną niepowodzenia.

Odwrotny objaw łatwiej przeoczyć. Zadanie drukowania kończy się powodzeniem, podobnie jak połączenie z udziałem plików, do którego ten użytkownik nigdy nie powinien dotrzeć. To oznacza, że coś wcześniejszego już zezwalało na sieć LAN.

Oba objawy wskazują na kolejność, a nie na pola nowej reguły. Jeden to reguła, która nigdy nie pasowała, a drugi to reguła, która pasowała zbyt wcześnie.

Który zestaw reguł ruch faktycznie trafia

pfSense ocenia reguły dla każdego interfejsu, a OpenVPN ma własną kartę, której reguły obowiązują dla każdej instancji serwera i klienta. Te reguły są przetwarzane przed regułami przypisanymi do konkretnego interfejsu OpenVPN. Szerokie zezwolenie pozostawione na karcie OpenVPN obowiązuje więc także tego użytkownika, cokolwiek mówi karta interfejsu. Skopiuj tę kolejność do zapisu zmiany, aby przegląd mógł ją sprawdzić bez otwierania GUI.

Dlatego nowe wąskie zezwolenie nie może odebrać dostępu. Reguły zapory dodają uprawnienie i nie odbierają go wcześniejszemu dopasowaniu.

Czytaj obowiązującą listę od góry i zatrzymaj się na pierwszej regule pasującej do ruchu. To pierwsze dopasowanie jest decyzją, a wszystko poniżej jest nieosiągalne dla tego przepływu.

Napisz regułę zezwolenia wychodząc od zadania drukowania

Zacznij od zadania, a nie od drukarki. Użytkownik potrzebuje usługi drukowania pod adresem drukarki, więc reguła wymienia ten adres, ten protokół i ten port. Alias puli VPN i alias drukarki utrzymują regułę czytelną.

Oprzyj się pokusie dodania portów wykrywania lub administracji, aby uszczęśliwić kreatora. Reguła, która wpuszcza całą drukarkę, to inna polityka niż ta, która wpuszcza kolejkę wydruku.

Zachowaj własne uwierzytelnianie drukarki. Zezwolenie sieciowe go nie zastępuje. Konto na poziomie kolejki to właściwa kontrola nad tym, kto może co drukować.

Sześć wartości niesie cały zamiar: zezwolenie jako akcja, IPv4 jako rodzina, TCP jako protokół, alias puli jako źródło, alias drukarki jako cel i 631 jako port. Wszystko ponad te sześć to inna polityka niż zamówiona.

Daj klientowi ścieżkę bez zezwolenia na sieć LAN

Klient potrzebuje trasy do adresu drukarki, a strona biurowa ścieżki odpowiedzi do puli VPN. Wypchnięcie pojedynczego /32 utrzymuje konfigurację klienta wąską, co pomaga w diagnozie. To nie jest granica autoryzacji, ponieważ klient może sam dodawać trasy.

Jeśli kolejka jest adresowana po nazwie, zdefiniuj zależność od resolvera osobno. Zezwolenie całej sieci LAN, aby rozwiązać jedną nazwę, to znacznie większa zmiana, niż wymaga zadanie.

Wybierz świadomie między trasowaniem z powrotem do puli a tłumaczeniem źródła. Oba działają, a każde ukrywa przed logami coś innego.

Przetestuj odmowę równie dobrze jak zadanie

Wyślij jedno małe, niepoufne zadanie od użytkownika VPN, następnie wypróbuj zasób sieci LAN, który powinien zostać odrzucony, oraz samą stronę administracji zapory. Wszystkie trzy testy należą do tej samej sesji, bo tylko tak widać politykę jako całość. Samo udane zadanie drukowania nie dowodzi prawie niczego o granicy.

Sprawdź IPv6 i każdą inną aktywną ścieżkę VPN, zanim nazwiesz wdrożenie tylko-drukarkowym. Zestaw reguł wąski w jednej rodzinie adresów może być całkowicie otwarty w drugiej.