Používateľ VPN potrebuje jednu tlačiareň, nie celú LAN

Pravidlo vyzerá správne a tlačiareň stále odmieta. Alebo tlačiareň funguje a ten istý používateľ sa dostane aj na súborový server, čo je horšie. Oba výsledky zvyčajne pochádzajú z toho istého miesta: úzke pravidlo bolo pridané do sady pravidiel, ktorá už povoľovala niečo širšie. Prečítanie efektívneho poradia vysvetlí výsledok skôr, než sa napíše akékoľvek nové pravidlo.

Príznak: úzke pravidlo nič nezmenilo

Vyhradený fond VPN, jedna adresa tlačiarne a pravidlo povolenia na TCP 631 je rozumný návrh. Keď neprinesie vôbec žiadnu zmenu, prvým podozrením by malo byť, že prevádzka na toto pravidlo nikdy nedorazila. Pravidlo rozhoduje len o prevádzke, ktorá dorazí na jeho pozíciu v poradí vyhodnocovania. Polia sa dajú ľahko skontrolovať a len zriedka bývajú príčinou zlyhania.

Opačný príznak sa prehliadne ľahšie. Tlačová úloha uspeje a uspeje aj pripojenie k zdieľanému súboru, kam sa tento používateľ nikdy nemal dostať. To znamená, že niečo skoršie už LAN povolilo.

Oba príznaky ukazujú na poradie, nie na polia nového pravidla. Jedno z nich je pravidlo, ktoré nikdy nesedelo, a druhé je pravidlo, ktoré sedelo príliš skoro.

Ktorá sada pravidiel prevádzku skutočne zasiahne

pfSense vyhodnocuje pravidlá pre každé rozhranie a OpenVPN má vlastnú kartu, ktorej pravidlá platia pre každú inštanciu servera a klienta. Tieto pravidlá sa spracujú skôr ako pravidlá priradené konkrétnemu rozhraniu OpenVPN. Preto široké povolenie ponechané na karte OpenVPN platí aj pre tohto používateľa, nech karta rozhrania hovorí čokoľvek. Skopírujte toto poradie do záznamu o zmene, aby ho kontrola mohla overiť bez otvorenia GUI.

Preto nové úzke povolenie nemôže odobrať prístup. Pravidlá firewallu pridávajú oprávnenie a neodoberajú ho skoršej zhode.

Čítajte efektívny zoznam zhora a zastavte sa pri prvom pravidle, ktoré zodpovedá prevádzke. Táto prvá zhoda je rozhodnutím a všetko pod ňou je pre daný tok nedostupné.

Napíšte pravidlo povolenia z tlačovej úlohy

Začnite pri úlohe, nie pri tlačiarni. Používateľ potrebuje tlačovú službu na adrese tlačiarne, takže pravidlo pomenúva túto adresu, tento protokol a tento port. Alias pre fond VPN a alias pre tlačiareň udržia pravidlo čitateľné.

Odolajte pokušeniu pridávať porty zisťovania alebo správy, aby bol sprievodca spokojnejší. Pravidlo, ktoré prepustí celú tlačiareň, je iná politika než to, ktoré prepustí tlačový front.

Ponechajte vlastnú autentifikáciu tlačiarne. Sieťové povolenie ju nenahrádza. Účet na úrovni frontu je správna kontrola nad tým, kto môže čo tlačiť.

Celý zámer nesie šesť hodnôt: povolenie ako akcia, IPv4 ako rodina, TCP ako protokol, alias fondu ako zdroj, alias tlačiarne ako cieľ a 631 ako port. Čokoľvek nad rámec týchto šiestich je iná politika než požadovaná.

Dajte klientovi cestu bez povolenia LAN

Klient potrebuje trasu k adrese tlačiarne a kancelárska strana spätnú cestu k fondu VPN. Odoslanie jedinej /32 udrží konfiguráciu klienta úzku, čo pomáha pri diagnostike. Nie je to hranica autorizácie, pretože klient si môže trasy pridať sám.

Ak je front adresovaný podľa mena, definujte závislosť od resolvera samostatne. Povoliť celú LAN, aby sa preložilo jedno meno, je oveľa väčšia zmena, než úloha vyžaduje.

Vedome voľte medzi smerovaním späť do fondu a prekladom zdroja. Oboje funguje a každé skrýva pred logmi niečo iné.

Otestujte odmietnutie aj úlohu

Odošlite jednu malú, necitlivú úlohu od používateľa VPN, potom vyskúšajte prostriedok v LAN, ktorý má byť odmietnutý, a vlastnú administrátorskú stránku firewallu. Všetky tri testy patria do tej istej relácie, pretože len tak vidno politiku ako celok. Samotná úspešná tlačová úloha o hranici takmer nič nedokazuje.

Prejdite IPv6 a každú ďalšiu aktívnu cestu VPN predtým, než nasadenie nazvete iba tlačiarňou. Sada pravidiel úzka v jednej rodine adries môže byť v druhej úplne otvorená.