pfSense odchádzajúci NAT: najprv si prečítajte vygenerované pravidlá

Otvorte Firewall, potom NAT a potom Outbound a prečítajte si režim, skôr než čokoľvek pridáte. V režime Automatic pfSense generuje pravidlá pre rozhrania WAN a medzi nimi aj pre siete VPN vzdialeného prístupu, takže pool, ktorý sa chystáte pridať, je často už pokrytý. Chýbajúci ručne napísaný riadok nie je dôkazom, že chýba preklad. Poradie nižšie vám zabráni prepnúť celý firewall do režimu Manual kvôli jednému poolu.

Režim určuje, kto udržiava preklad pre každú ďalšiu sieť na zariadení, a to je väčšie rozhodnutie ako jedna výnimka pre VPN.

Režim Automatic už pool VPN pokrýva

Každý režim má iného vlastníka. Automatic generuje pravidlá pre rozhrania WAN a medzi svoje zdroje zaraďuje siete VPN vzdialeného prístupu. Hybrid tieto vygenerované pravidlá zachováva a umožňuje vedľa nich pridávať ručné. Manual prestane čokoľvek generovať, takže každý preklad na firewalle sa stane vašou zodpovednosťou, vrátane tých, ktoré ste nenapísali. Štvrté nastavenie odchádzajúci NAT úplne vypne. Riadok, ktorý vyzerá ručne napísaný, nič nedokazuje, kým neviete, ktorý režim je aktívny.

V režimoch Automatic a Hybrid stránka zobrazuje aj vygenerované pravidlá. Prečítajte si ich, skôr než usúdite, že pool VPN nemá preklad: hľadajte sieť poolu v stĺpci zdroja a rozhranie WAN v stĺpci rozhrania.

Hybrid volte len pre skontrolovanú výnimku

Dokumentovaná výnimka je stále možná, keď sa výstupná politika naozaj líši. Predstavte si server, ktorý vydáva 10.90.0.0/24, kde má firewall poskytovať výstup do internetu cez IPv4 a smerovanie už vyberá WAN. Očakávaná transformácia je, že sa zdroj 10.90.0.23 prepíše na adresu WAN. Overte, či to už na tomto výstupe nejaké vygenerované pravidlo nerobí; ak nie, Hybrid zachová automatické pokrytie a pridá vaše skontrolované pravidlo.

Ako zdroj použite skutočný pool VPN alebo preň podporovaný alias a nikdy nevyberajte nesúvisiacu adresu len preto, že v ponuke chýba názov inštancie OpenVPN. Vyhnite sa zdroju any, ktorý prekladá aj prevádzku, ktorú firewall sám vytvára.

Neprepínajte celý firewall do režimu Manual kvôli jednému poolu. Také rozhodnutie preraďuje údržbu pre každú internú sieť a každú budúcu zmenu WAN.

NAT nevyberá výstup

Smerovanie vyberá výstupné rozhranie; pravidlo odchádzajúceho NAT len opisuje, ako sa zdroj prepíše po tom, čo paket opustí zariadenie. Mapovanie pre WAN nedonúti paket, ktorý smerovanie poslalo inam, aby išiel cez WAN, a preto pridanie NAT nemôže opraviť nesprávnu trasu. Skontrolujte aj platné položky NAT 1:1 a výnimky, pretože poradie je dôležité a nový riadok nemusí vyhrať. A stránka odchádzajúceho NAT nie je stránka filtrovania.

Preložený zdroj nie je oprávnenie dosiahnuť akýkoľvek cieľ. Klienti stále potrebujú trasu tunelom a pravidlo firewallu, ktoré ich prevádzku prepustí, a zvolený výstup potrebuje funkčnú spätnú cestu. Držte prístup len do LAN oddelene od oprávnenia na výstup do internetu.

Dokážte transformáciu na novom spojení

Po schválenej zmene testujte novým autorizovaným spojením, namiesto toho, aby ste znova použili existujúce, pretože nadviazané stavy si držia predchádzajúci preklad. Potvrďte zdrojovú adresu, ktorá skutočne opúšťa WAN, a že odpoveď sa vracia tým istým stavom. Nevymazávajte celú tabuľku stavov ako prvý krok; to skryje, ktoré pravidlo zmenilo výsledok. Zapíšte režim, pravidlo, pool a výstup do tiketu zmeny.

Tento príklad pokrýva len výstup IPv4. Nič nehovorí o preklade ani politike filtrovania IPv6 a návrh, ktorý ju potrebuje, to musí uviesť osobitne. Hotový záznam uvádza povolenú klientsku prevádzku, rozhranie, ktoré ju nesie, a dôvod, prečo je vôbec potrebné zdroj prepisovať.