Un utilizator VPN are nevoie de o imprimantă, nu de tot LAN-ul

Regula pare corectă și imprimanta refuză în continuare. Sau imprimanta funcționează și același utilizator ajunge și la serverul de fișiere, ceea ce este mai rău. Ambele rezultate vin de obicei din același loc: regula îngustă a fost adăugată la un set de reguli care permitea deja ceva mai larg. Citirea ordinii efective explică rezultatul înainte de a fi scrisă orice regulă nouă.

Simptomul: regula îngustă nu a schimbat nimic

Un pool VPN dedicat, o adresă de imprimantă și o regulă de permisiune pe TCP 631 reprezintă un proiect rezonabil. Când nu produce nicio schimbare, prima suspiciune ar trebui să fie că traficul nu a ajuns niciodată la acea regulă. O regulă decide doar pentru traficul care ajunge la poziția ei în ordinea de evaluare. Câmpurile sunt ușor de verificat și rareori sunt cauza eșecului.

Simptomul opus este mai ușor de trecut cu vederea. Lucrarea de imprimare reușește, la fel și o conexiune la o partajare de fișiere la care acest utilizator nu ar fi trebuit să ajungă niciodată. Asta înseamnă că ceva anterior permisesese deja LAN-ul.

Ambele simptome indică ordinea, nu câmpurile noii reguli. Unul este o regulă care nu s-a potrivit niciodată, iar celălalt este o regulă care s-a potrivit prea devreme.

Ce set de reguli atinge de fapt traficul

pfSense evaluează regulile pe interfață, iar OpenVPN are propriul tab ale cărui reguli se aplică fiecărei instanțe de server și client. Acele reguli sunt procesate înaintea regulilor atribuite unei anume interfețe OpenVPN. Prin urmare, o permisiune largă lăsată pe tabul OpenVPN se aplică și acestui utilizator, orice ar spune tabul interfeței. Copiați această ordine în registrul modificării pentru ca revizuirea să o poată verifica fără a deschide GUI-ul.

De aceea o permisiune îngustă nouă nu poate retrage acces. Regulile de firewall adaugă permisiune și nu o iau de la o potrivire anterioară.

Citiți lista efectivă de sus și opriți-vă la prima regulă care corespunde traficului. Acea primă potrivire este decizia, iar tot ce este dedesubt este inaccesibil pentru acel flux.

Scrieți regula de permisiune pornind de la lucrarea de imprimare

Începeți cu lucrarea, nu cu imprimanta. Utilizatorul are nevoie de serviciul de imprimare pe adresa imprimantei, așa că regula numește acea adresă, acel protocol și acel port. Un alias pentru poolul VPN și un alias pentru imprimantă mențin regula lizibilă.

Împotriviți-vă tentației de a adăuga porturi de descoperire sau de administrare pentru a face un vrăjitor mai fericit. O regulă care admite întreaga imprimantă este o politică diferită de una care admite o coadă de imprimare.

Păstrați autentificarea proprie a imprimantei. O permisiune de rețea nu o înlocuiește. Un cont la nivelul cozii este controlul corect pentru cine poate imprima ce.

Șase valori poartă întreaga intenție: permisiune ca acțiune, IPv4 ca familie, TCP ca protocol, aliasul poolului ca sursă, aliasul imprimantei ca destinație și 631 ca port. Orice dincolo de aceste șase este o politică diferită de cea cerută.

Dați clientului o cale fără permisiune pentru LAN

Clientul are nevoie de o rută către adresa imprimantei, iar partea de birou de o cale de răspuns către poolul VPN. Trimiterea unui singur /32 menține configurația clientului îngustă, ceea ce ajută la diagnosticare. Nu este granița de autorizare, pentru că un client poate adăuga singur rute.

Dacă coada este adresată după nume, definiți separat dependența de resolver. Permiterea întregului LAN pentru ca un singur nume să fie rezolvat este o schimbare mult mai mare decât cere lucrarea.

Alegeți deliberat între rutarea înapoi în pool și traducerea sursei. Ambele funcționează, iar fiecare ascunde ceva diferit de jurnale.

Testați refuzul, precum și lucrarea

Trimiteți o lucrare mică și nesensibilă de la utilizatorul VPN, apoi încercați o resursă din LAN care ar trebui refuzată și pagina de administrare a firewall-ului însuși. Toate cele trei teste aparțin aceleiași sesiuni, pentru că este singura modalitate de a vedea politica în ansamblu. O lucrare de imprimare reușită singură nu dovedește aproape nimic despre graniță.

Examinați IPv6 și orice altă cale VPN activă înainte de a numi implementarea doar-imprimantă. Un set de reguli îngust într-o familie de adrese poate fi complet deschis în cealaltă.