Пользователю VPN нужен один принтер, а не вся локальная сеть

Правило выглядит правильным, а принтер всё равно отказывает. Или принтер работает, и тот же пользователь попадает ещё и на файловый сервер, что хуже. Оба результата обычно приходят из одного места: узкое правило добавили к набору правил, который уже разрешал нечто более широкое. Чтение действующего порядка объясняет результат до написания любого нового правила.

Симптом: узкое правило ничего не изменило

Выделенный пул VPN, один адрес принтера и правило разрешения на TCP 631 — разумный проект. Когда он вообще не даёт изменений, первым подозрением должно быть то, что трафик так и не дошёл до этого правила. Правило решает только для трафика, который доходит до его позиции в порядке проверки. Поля легко проверить, и они редко бывают причиной сбоя.

Противоположный симптом заметить легче. Задание печати проходит, а также проходит подключение к файловому ресурсу, до которого этот пользователь не должен был добираться. Это значит, что что-то более раннее уже разрешало локальную сеть.

Оба симптома указывают на порядок, а не на поля нового правила. Одно из них — правило, которое никогда не совпадало, а другое — правило, совпавшее слишком рано.

В какой набор правил трафик действительно попадает

pfSense оценивает правила для каждого интерфейса, а у OpenVPN есть собственная вкладка, правила которой действуют для каждого экземпляра сервера и клиента. Эти правила обрабатываются раньше правил, назначенных конкретному интерфейсу OpenVPN. Поэтому широкое разрешение, оставленное на вкладке OpenVPN, действует и для этого пользователя, что бы ни говорила вкладка интерфейса. Скопируйте этот порядок в запись об изменении, чтобы проверка могла убедиться в нём, не открывая GUI.

Поэтому новое узкое разрешение не может отнять доступ. Правила межсетевого экрана добавляют разрешение и не забирают его у более раннего совпадения.

Читайте действующий список сверху и остановитесь на первом правиле, совпадающем с трафиком. Это первое совпадение и есть решение, а всё ниже для этого потока недостижимо.

Пишите правило разрешения от задания печати

Начинайте с задания, а не с принтера. Пользователю нужна служба печати на адресе принтера, поэтому правило называет этот адрес, этот протокол и этот порт. Псевдоним для пула VPN и псевдоним для принтера сохраняют правило читаемым.

Сопротивляйтесь добавлению портов обнаружения или администрирования, чтобы порадовать мастер. Правило, пропускающее весь принтер, — это другая политика, чем то, которое пропускает очередь печати.

Оставьте собственную аутентификацию принтера на месте. Сетевое разрешение её не заменяет. Учётная запись на уровне очереди — правильный контроль того, кто что может печатать.

Шесть значений несут весь замысел: разрешение как действие, IPv4 как семейство, TCP как протокол, псевдоним пула как источник, псевдоним принтера как назначение и 631 как порт. Всё за пределами этих шести — другая политика, чем запрошенная.

Дайте клиенту путь без разрешения для локальной сети

Клиенту нужен маршрут к адресу принтера, а офисной стороне — обратный путь к пулу VPN. Отправка одного /32 сохраняет конфигурацию клиента узкой, что помогает диагностике. Это не граница авторизации, потому что клиент может сам добавлять маршруты.

Если очередь адресуется по имени, определите зависимость от резолвера отдельно. Разрешать всю локальную сеть, чтобы разрешилось одно имя, — гораздо большее изменение, чем требует задание.

Осознанно выбирайте между маршрутизацией обратно в пул и трансляцией источника. Работает и то и другое, и каждое скрывает от журналов что-то своё.

Проверьте и отказ, и задание

Отправьте одно небольшое, неконфиденциальное задание от пользователя VPN, затем попробуйте ресурс локальной сети, который должен быть отклонён, и собственную страницу администрирования межсетевого экрана. Все три теста относятся к одному сеансу, потому что только так политика видна целиком. Одно успешное задание печати само по себе почти ничего не доказывает о границе.

Проверьте IPv6 и любой другой активный путь VPN, прежде чем называть развёртывание только-принтерным. Набор правил, узкий в одном семействе адресов, может быть полностью открыт в другом.