pfSense odhodni NAT: najprej preberite ustvarjena pravila

Odprite Firewall, nato NAT in nato Outbound ter preberite način, preden kar koli dodate. V načinu Automatic pfSense ustvarja pravila za vmesnike WAN in med njimi za omrežja VPN za oddaljeni dostop, zato je skupina, ki jo nameravate dodati, pogosto že pokrita. Manjkajoča ročno napisana vrstica ni dokaz, da prevoda ni. Spodnji vrstni red vam prepreči, da bi celoten požarni zid preklopili v Manual zaradi ene skupine.

Način odloča, kdo vzdržuje prevod za vsako drugo omrežje na napravi, in to je večja odločitev od ene izjeme VPN.

Način Automatic že pokriva skupino VPN

Vsak način ima drugačnega lastnika. Automatic ustvarja pravila za vmesnike WAN in med svoje vire vključi omrežja VPN za oddaljeni dostop. Hybrid ohrani ta ustvarjena pravila in vam omogoča, da ob njih dodate ročna. Manual preneha kar koli ustvarjati, zato vsak prevod na požarnem zidu postane vaša odgovornost, tudi tisti, ki jih niste napisali. Četrta nastavitev popolnoma izklopi odhodni NAT. Vrstica, ki je videti ročno napisana, ne dokaže ničesar, dokler ne veste, kateri način je aktiven.

V načinih Automatic in Hybrid stran prikazuje tudi ustvarjena pravila. Preberite jih, preden sklepate, da skupina VPN nima prevoda: poiščite omrežje skupine v stolpcu vira in vmesnik WAN v stolpcu vmesnika.

Hybrid izberite le za pregledano izjemo

Dokumentirana izjema je še vedno mogoča, ko se izhodna politika res razlikuje. Predstavljajte si strežnik, ki razdeli 10.90.0.0/24, kjer mora požarni zid zagotoviti izhod v internet prek IPv4 in usmerjanje že izbere WAN. Pričakovana preobrazba je, da se vir 10.90.0.23 prepiše na naslov WAN. Preverite, ali ustvarjeno pravilo to že počne na tem izhodu; če ne, Hybrid ohrani samodejno pokritost in doda vaše pregledano pravilo.

Kot vir uporabite dejansko skupino VPN ali podprt vzdevek zanjo in nikoli ne izberite nepovezanega naslova le zato, ker imena primerka OpenVPN ni na izbirniku. Izogibajte se viru any, ki prevaja tudi promet, ki ga ustvari požarni zid sam.

Ne preklopite celotnega požarnega zidu v Manual zaradi ene skupine. Ta odločitev prerazporedi vzdrževanje za vsako notranje omrežje in vsako prihodnjo spremembo WAN.

NAT ne izbere izhoda

Usmerjanje izbere izhodni vmesnik; pravilo odhodnega NAT samo opisuje, kako se vir prepiše, ko paket odide. Preslikava za WAN ne prisili paketa, ki ga je usmerjanje poslalo drugam, da gre skozi WAN, zato dodajanje NAT ne more popraviti napačne poti. Preglejte tudi veljavne vnose NAT 1:1 in izjeme, ker je vrstni red pomemben in nova vrstica ne zmaga nujno. In odhodna stran ni stran filtriranja.

Preveden vir ni dovoljenje za dosego vsakega cilja. Odjemalci še vedno potrebujejo pot skozi tunel in pravilo požarnega zidu, ki njihov promet spusti, izbrani izhod pa potrebuje delujočo povratno pot. Dostop samo do LAN ločite od dovoljenja za izhod v internet.

Dokažite preobrazbo na novi povezavi

Po odobreni spremembi preizkusite z novo pooblaščeno povezavo, namesto da bi znova uporabili obstoječo, ker uveljavljena stanja ohranijo prejšnjo preobrazbo. Potrdite naslov vira, ki dejansko zapusti WAN, in da se odgovor vrne skozi isto stanje. Ne izpraznite celotne tabele stanj kot prvega koraka; to skrije, katero pravilo je spremenilo izid. Zapišite način, pravilo, skupino in izhod v zahtevek za spremembo.

Ta primer pokriva le izhod IPv4. Ne pove ničesar o preobrazbi ali politiki filtriranja IPv6, in zasnova, ki to potrebuje, mora to navesti ločeno. Končni zapis našteje dovoljeni odjemalski promet, vmesnik, ki ga prenaša, in razlog, zakaj je vir sploh treba prepisati.