په pfSense کې د وتلو NAT: لومړی جوړ شوي قواعد ولولئ

Firewall پرانیزئ، بیا NAT، بیا Outbound، او د هر څه په اضافه کولو دمخه حالت ولولئ۔ په Automatic حالت کې pfSense د WAN انټرفیسونو لپاره او په هغو کې د لرې لاسرسي VPN شبکو لپاره قواعد جوړوي، نو هغه حوض چې تاسو یې د اضافه کولو په حال کې یاست ډېری وختونه لا پوښل شوی وي۔ د لاسي لیکل شوې کرښې نه شتون د ژباړې د نه شتون ثبوت نه دی۔ لاندې ترتیب تاسو له دې منع کوي چې د یو حوض د حل لپاره ټول فایر وال Manual ته واړوئ۔

حالت ټاکي چې په وسیله کې د هر بل شبکې لپاره ژباړه څوک ساتي، او دا له یوې VPN استثنا څخه لویه پرېکړه ده۔

Automatic حالت لا دمخه د VPN حوض پوښي

هر حالت خپل بېل مالک لري۔ Automatic د WAN انټرفیسونو لپاره قواعد جوړوي او د لرې لاسرسي VPN شبکې په خپلو سرچینو کې شاملیږي۔ Hybrid هغه جوړ شوي قواعد ساتي او اجازه درکوي چې څنګ ته یې لاسي قواعد اضافه کړئ۔ Manual د هر څه جوړول بندوي، نو په فایر وال کې هره ژباړه ستاسو مسؤلیت ګرځي، هغه هم چې تاسو نه دي لیکلي۔ څلورمه تنظیم په بشپړ ډول د وتلو NAT بندوي۔ هغه کرښه چې لاسي لیکل شوې ښکاري تر هغه پورې هيڅ ثبوت نه کوي چې تاسو پوه شئ کوم حالت فعال دی۔

په Automatic او Hybrid کې پاڼه جوړ شوي قواعد هم ښیي۔ د دې پایلې دمخه چې د VPN حوض ژباړه نه لري، هغه ولولئ: په سرچینې کالم کې د حوض شبکه او په انټرفیس کالم کې WAN انټرفیس ولټوئ۔

Hybrid یوازې د کتل شوې استثنا لپاره غوره کړئ

کله چې د وتلو پالیسي واقعاً توپیر ولري، مستنده استثنا لا هم ممکنه ده۔ یو سرور تصور کړئ چې 10.90.0.0/24 ویشي، چېرې چې فایر وال باید IPv4 انټرنېټ وتل چمتو کړي او روټینګ لا دمخه WAN غوره کوي۔ تمه شوې بدلون دا دی چې سرچینه 10.90.0.23 د WAN پتې ته بیا ولیکل شي۔ وګورئ چې آیا یو جوړ شوی قاعده په هغه وتلو کې دا لا دمخه کوي؛ که نه، Hybrid اتوماتیک پوښښ ساتي او ستاسو کتل شوې قاعده اضافه کوي۔

د سرچینې په توګه اصلي VPN حوض، یا د هغې لپاره ملاتړ شوی مستعار نوم وکاروئ، او هیڅکله دې ته مه مخه کړئ چې یوازې ځکه چې د OpenVPN نمونه نوم په ټاکنکې کې نه دی، بې اړیکې پته غوره کړئ۔ له any سرچینې څخه ډډه وکړئ، چې هغه ترافیک هم ژباړي چې فایر وال پخپله جوړوي۔

د یو حوض لپاره ټول فایر وال Manual ته مه اړوئ۔ دا پرېکړه د هر داخلي شبکې او هر راتلونکي WAN بدلون لپاره ساتنه بیا ټاکي۔

NAT وتل نه ټاکي

روټینګ د وتلو انټرفیس ټاکي؛ د وتلو NAT قاعده یوازې بیانوي چې د پاکټ له وتلو وروسته سرچینه څنګه بیا لیکل کیږي۔ د WAN لپاره نقشه اړ نه کوي چې هغه پاکټ چې روټینګ بل ځای ته لېږلی، د WAN له لارې ولاړ شي، له همدې امله د NAT اضافه کول غلط روټ نشي سمولی۔ د 1:1 NAT ننوتنې او استثناوې هم وګورئ، ځکه ترتیب مهم دی او نوې کرښه اړ نه ده چې وګټي۔ او د وتلو پاڼه د فلټر پاڼه نه ده۔

ژباړل شوې سرچینه هر هدف ته د رسیدو اجازه نه ده۔ کلینټان لا هم د تونل له لارې روټ او د فایر وال هغه قاعده غواړي چې د دوی ترافیک ومني، او ټاکل شوي وتلو ته د کار کوونکې بیرته راستنېدلو لارې اړتیا ده۔ یوازې-LAN لاسرسی د انټرنېټ-وتلو اجازې څخه جلا وساتئ۔

په نوي اړیکه کې بدلون ثابت کړئ

د منل شوي بدلون وروسته، د موجودې اړیکې په بیا کارولو پرځای نوې اجازه لرونکې اړیکې سره ازموینه وکړئ، ځکه تاسیس شوي حالتونه خپله پخوانۍ ژباړه ساتي۔ هغه سرچینه پته تایید کړئ چې واقعاً WAN پریږدي او ځواب د همدې حالت له لارې بیرته راځي۔ د لومړي ګام په توګه ټوله د حالتونو جدول مه خالي کوئ؛ دا پټوي چې کومې قاعدې پایله بدله کړه۔ په بدلون ټکټ کې حالت، قاعده، حوض او وتل ولیکئ۔

دا بیلګه یوازې IPv4 وتل پوښي۔ دا د IPv6 ژباړې یا فلټر کولو پالیسي په اړه هیڅ نه وایي، او هغه ډیزاین چې ورته اړتیا لري باید دا جلا بیان کړي۔ بشپړ شوی ریکارډ اجازه شوی کلینټ ترافیک، هغه انټرفیس چې دا وړي، او لامل چې سرچینه ولې بیا ولیکل شي لیست کوي۔