Uporabnik VPN potrebuje en tiskalnik, ne celotnega LAN

Pravilo je videti pravilno, tiskalnik pa še vedno zavrača. Ali pa tiskalnik deluje in isti uporabnik doseže tudi strežnik datotek, kar je slabše. Oba rezultata običajno prideta z istega mesta: ozko pravilo je bilo dodano naboru pravil, ki je že dovoljeval nekaj širšega. Branje dejanskega vrstnega reda pojasni rezultat, preden je napisano katero koli novo pravilo.

Simptom: ozko pravilo ni spremenilo ničesar

Namenski sklad VPN, en naslov tiskalnika in pravilo dovoljenja na TCP 631 je razumna zasnova. Ko ne prinese nobene spremembe, bi moral biti prvi sum, da promet nikoli ni dosegel tega pravila. Pravilo odloča le o prometu, ki doseže njegovo mesto v vrstnem redu ocenjevanja. Polja je enostavno preveriti in so redko vzrok neuspeha.

Nasprotni simptom je lažje spregledati. Tiskalno opravilo uspe, prav tako tudi povezava do skupne rabe datotek, do katere ta uporabnik ne bi smel priti. To pomeni, da je nekaj prejšnjega že dovolilo LAN.

Oba simptoma kažeta na vrstni red in ne na polja novega pravila. Eno je pravilo, ki se nikoli ni ujemalo, drugo pa pravilo, ki se je ujemalo prepozno.

Kateri nabor pravil promet dejansko zadene

pfSense ocenjuje pravila po vmesniku, OpenVPN pa ima svoj zavihek, katerega pravila veljajo za vsak primerek strežnika in odjemalca. Ta pravila se obdelajo pred pravili, dodeljenimi določenemu vmesniku OpenVPN. Zato široko dovoljenje, ki ostane na zavihku OpenVPN, velja tudi za tega uporabnika, ne glede na to, kaj pravi zavihek vmesnika. Kopirajte ta vrstni red v zapis spremembe, da ga bo pregled lahko preveril brez odpiranja GUI.

Zato novo ozko dovoljenje ne more odvzeti dostopa. Pravila požarnega zidu dodajajo dovoljenje in ga ne odvzamejo prejšnjemu ujemanju.

Preberite dejanski seznam od zgoraj in se ustavite pri prvem pravilu, ki ustreza prometu. To prvo ujemanje je odločitev, vse pod njim pa je za ta tok nedosegljivo.

Napišite pravilo dovoljenja iz tiskalnega opravila

Začnite pri opravilu in ne pri tiskalniku. Uporabnik potrebuje storitev tiskanja na naslovu tiskalnika, zato pravilo navaja ta naslov, ta protokol in ta vrata. Vzdevek za sklad VPN in vzdevek za tiskalnik ohranjata pravilo berljivo.

Upirajte se skušnjavi, da bi dodali vrata za odkrivanje ali upravljanje, da bi bil čarovnik bolj zadovoljen. Pravilo, ki prepusti celoten tiskalnik, je drugačna politika od tistega, ki prepusti čakalno vrsto tiskanja.

Ohranite lastno preverjanje pristnosti tiskalnika. Omrežno dovoljenje ga ne nadomesti. Račun na ravni čakalne vrste je prava kontrola nad tem, kdo lahko kaj natisne.

Šest vrednosti nosi celoten namen: dovoljenje kot dejanje, IPv4 kot družina, TCP kot protokol, vzdevek sklada kot vir, vzdevek tiskalnika kot cilj in 631 kot vrata. Vse, kar presega teh šest, je druga politika od zahtevane.

Dajte odjemalcu pot brez dovoljenja za LAN

Odjemalec potrebuje pot do naslova tiskalnika, pisarniška stran pa povratno pot do sklada VPN. Pošiljanje enega samega /32 ohranja konfiguracijo odjemalca ozko, kar pomaga pri diagnostiki. To ni meja avtorizacije, ker lahko odjemalec sam doda poti.

Če je čakalna vrsta naslovljena po imenu, ločeno določite odvisnost od razreševalnika. Dovoliti celoten LAN, da se razreši eno ime, je veliko večja sprememba, kot zahteva opravilo.

Zavestno izberite med usmerjanjem nazaj v sklad in prevajanjem vira. Oboje deluje in vsako pred dnevniki skrije nekaj drugega.

Preizkusite zavrnitev in opravilo

Pošljite eno majhno, neobčutljivo opravilo od uporabnika VPN, nato preizkusite vir v LAN, ki bi moral biti zavrnjen, in lastno skrbniško stran požarnega zidu. Vsi trije testi spadajo v isto sejo, ker je to edini način, da politiko vidite kot celoto. Uspešno tiskalno opravilo samo po sebi o meji ne dokaže skoraj ničesar.

Preglejte IPv6 in vsako drugo aktivno pot VPN, preden uvedbo poimenujete samo-tiskalnik. Nabor pravil, ozek v eni družini naslovov, je lahko v drugi popolnoma odprt.