Um utilizador de VPN precisa de uma impressora, não de toda a LAN

A regra parece correta e a impressora continua a recusar. Ou a impressora funciona e o mesmo utilizador também chega ao servidor de ficheiros, o que é pior. Ambos os resultados vêm normalmente do mesmo sítio: a regra estreita foi adicionada a um conjunto de regras que já permitia algo mais amplo. Ler a ordem efetiva explica o resultado antes de se escrever qualquer regra nova.

O sintoma: a regra estreita não mudou nada

Um pool de VPN dedicado, um endereço de impressora e uma regra de passagem em TCP 631 é um desenho razoável. Quando não produz qualquer alteração, a primeira suspeita deve ser que o tráfego nunca chegou a essa regra. Uma regra só decide para o tráfego que chega à sua posição na ordem de avaliação. Os campos são fáceis de verificar e raramente são a causa da falha.

O sintoma oposto é mais fácil de deixar passar. O trabalho de impressão tem sucesso, e também uma ligação a uma partilha de ficheiros a que este utilizador nunca deveria chegar. Isso significa que algo anterior já tinha permitido a LAN.

Ambos os sintomas apontam para a ordem e não para os campos da regra nova. Um é uma regra que nunca coincidiu, e o outro é uma regra que coincidiu demasiado cedo.

A que conjunto de regras o tráfego chega realmente

O pfSense avalia as regras por interface, e o OpenVPN tem o seu próprio separador cujas regras se aplicam a cada instância de servidor e cliente. Essas regras são processadas antes das regras atribuídas a uma interface OpenVPN específica. Por isso, uma passagem ampla deixada no separador do OpenVPN também se aplica a este utilizador, diga o que disser o separador da interface. Copie essa ordem para o registo da alteração para que a revisão a possa verificar sem abrir a GUI.

É por isso que uma nova passagem estreita não pode retirar acesso. As regras da firewall acrescentam permissão e não a retiram a uma correspondência anterior.

Leia a lista efetiva de cima para baixo e pare na primeira regra que corresponda ao tráfego. Essa primeira correspondência é a decisão, e tudo o que está abaixo é inatingível para esse fluxo.

Escreva a regra de passagem a partir do trabalho de impressão

Comece pelo trabalho e não pela impressora. O utilizador precisa do serviço de impressão no endereço da impressora, por isso a regra nomeia esse endereço, esse protocolo e essa porta. Um alias para o pool de VPN e um alias para a impressora mantêm a regra legível.

Resista à tentação de acrescentar portas de descoberta ou de administração para agradar a um assistente. Uma regra que admite a impressora inteira é uma política diferente de uma que admite uma fila de impressão.

Mantenha a autenticação da própria impressora. Uma permissão de rede não a substitui. Uma conta ao nível da fila é o controlo correto de quem pode imprimir o quê.

Seis valores transportam toda a intenção: passagem como ação, IPv4 como família, TCP como protocolo, o alias do pool como origem, o alias da impressora como destino e 631 como porta. Qualquer coisa além desses seis é uma política diferente da pedida.

Dê ao cliente um caminho sem permissão para a LAN

O cliente precisa de uma rota para o endereço da impressora, e o lado do escritório precisa de um caminho de resposta para o pool de VPN. Enviar um único /32 mantém a configuração do cliente estreita, o que ajuda no diagnóstico. Não é a fronteira de autorização, porque um cliente pode acrescentar rotas por si próprio.

Se a fila for endereçada por nome, defina a dependência do resolver em separado. Permitir toda a LAN para que um único nome seja resolvido é uma alteração muito maior do que o trabalho exige.

Escolha deliberadamente entre encaminhar de volta para o pool e traduzir a origem. Ambas funcionam, e cada uma esconde algo diferente dos registos.

Teste a recusa e também o trabalho

Envie um trabalho pequeno e não sensível a partir do utilizador de VPN, depois experimente um recurso da LAN que deveria ser recusado e a própria página de administração da firewall. Os três testes pertencem à mesma sessão, porque é a única forma de ver a política como um todo. Um trabalho de impressão bem-sucedido por si só não prova quase nada sobre a fronteira.

Reveja o IPv6 e qualquer outro caminho VPN ativo antes de classificar a implementação como só impressora. Um conjunto de regras estreito numa família de endereços pode estar completamente aberto na outra.