NAT de ieșire în pfSense: citiți mai întâi regulile generate

Deschideți Firewall, apoi NAT, apoi Outbound, și citiți modul înainte de a adăuga ceva. În modul Automatic, pfSense generează reguli pentru interfețele WAN și, printre ele, pentru rețelele VPN de acces la distanță, așa că pulele pe care urmează să o adăugați este adesea deja acoperită. Absența unei linii scrise de mână nu dovedește că lipsește traducerea. Ordinea de mai jos vă împiedică să treceți întregul firewall pe Manual pentru a rezolva un singur pool.

Modul decide cine întreține traducerea pentru fiecare altă rețea de pe echipament, iar aceasta este o decizie mai mare decât o singură excepție VPN.

Modul Automatic acoperă deja pool-ul VPN

Fiecare mod are un proprietar diferit. Automatic generează reguli pentru interfețele WAN și include rețelele VPN de acces la distanță între sursele sale. Hybrid păstrează acele reguli generate și vă permite să adăugați reguli manuale alături. Manual nu mai generează nimic, așa că fiecare traducere de pe firewall devine responsabilitatea dumneavoastră, inclusiv cele pe care nu le-ați scris. O a patra setare dezactivează complet NAT-ul de ieșire. O linie care pare scrisă de mână nu dovedește nimic până nu știți care mod este activ.

În Automatic și Hybrid pagina afișează și regulile generate. Citiți-le înainte de a concluziona că un pool VPN nu are traducere: căutați rețeaua pool-ului în coloana sursă și interfața WAN în coloana interfață.

Alegeți Hybrid doar pentru o excepție revizuită

O excepție documentată este încă posibilă atunci când politica de ieșire diferă cu adevărat. Imaginați-vă un server care distribuie 10.90.0.0/24, unde firewall-ul trebuie să asigure ieșire la internet prin IPv4 și rutarea alege deja WAN. Transformarea așteptată este ca sursa 10.90.0.23 să fie rescrisă la adresa WAN. Verificați dacă o regulă generată face deja asta pe acea ieșire; dacă nu, Hybrid păstrează acoperirea automată și adaugă regula dumneavoastră revizuită.

Folosiți pool-ul VPN real ca sursă, sau un alias acceptat pentru el, și nu alegeți niciodată o adresă irelevantă doar pentru că numele instanței OpenVPN lipsește dintr-un selector. Evitați o sursă any, care traduce și traficul generat de firewall însuși.

Nu treceți întregul firewall pe Manual pentru un singur pool. Această decizie redistribuie întreținerea pentru fiecare rețea internă și fiecare modificare WAN viitoare.

NAT nu alege ieșirea

Rutarea alege interfața de ieșire; o regulă NAT de ieșire descrie doar cum este rescrisă sursa după ce pachetul pleacă. O mapare pentru WAN nu forțează un pachet trimis de rutare în altă parte să treacă prin WAN, de aceea adăugarea NAT nu poate repara o rută greșită. Verificați și intrările NAT 1:1 aplicabile și excepțiile, deoarece ordinea contează și o linie nouă nu câștigă neapărat. Iar pagina de ieșire nu este pagina de filtrare.

O sursă tradusă nu este permisiunea de a ajunge la orice destinație. Clienții au în continuare nevoie de o rută prin tunel și de o regulă de firewall care le admite traficul, iar ieșirea aleasă are nevoie de o cale de întoarcere funcțională. Țineți accesul doar la LAN separat de permisiunea de ieșire la internet.

Dovediți transformarea pe o conexiune nouă

După o modificare aprobată, testați cu o conexiune autorizată nouă în loc să reutilizați una existentă, deoarece stările stabilite își păstrează transformarea anterioară. Confirmați adresa sursă care pleacă efectiv prin WAN și că răspunsul se întoarce prin aceeași stare. Nu goliți întregul tabel de stări ca prim pas; asta ascunde care regulă a schimbat rezultatul. Notați modul, regula, pool-ul și ieșirea în tichetul de modificare.

Acest exemplu acoperă doar ieșirea IPv4. Nu spune nimic despre o traducere sau politică de filtrare IPv6, iar un design care are nevoie de una trebuie să o declare separat. Înregistrarea finală enumeră traficul de client permis, interfața care îl transportă și motivul pentru care sursa trebuie rescrisă.