NAT dalës në pfSense: lexoni fillimisht rregullat e gjeneruara

Hapni Firewall, pastaj NAT, pastaj Outbound, dhe lexoni modalitetin përpara se të shtoni çdo gjë. Në modalitetin Automatic, pfSense gjeneron rregulla për ndërfaqet WAN dhe, mes tyre, për rrjetet VPN të aksesit në distancë, pra pishina që po shtoni shpesh është tashmë e mbuluar. Mungesa e një rreshti të shkruar me dorë nuk është provë se mungon përkthimi. Rendi më poshtë ju pengon ta kaloni të gjithë firewalin në Manual për të zgjidhur një pishinë të vetme.

Modaliteti vendos kush mirëmban përkthimin për çdo rrjet tjetër në pajisje, dhe ky është një vendim më i madh se një përjashtim i vetëm VPN.

Modaliteti Automatic tashmë mbulon pishinën VPN

Çdo modalitet ka pronar të ndryshëm. Automatic gjeneron rregulla për ndërfaqet WAN dhe përfshin rrjetet VPN të aksesit në distancë mes burimeve të tij. Hybrid i mban ato rregulla të gjeneruara dhe ju lejon të shtoni rregulla manuale pranë tyre. Manual ndalon gjenerimin e çdo gjëje, kështu që çdo përkthim në firewall bëhet përgjegjësia juaj, përfshirë ata që nuk i keni shkruar. Cilësimi i katërt çaktivizon plotësisht NAT-in dalës. Një rresht që duket i shkruar me dorë nuk provon asgjë derisa të dini cili modalitet është aktiv.

Në Automatic dhe Hybrid faqja shfaq gjithashtu rregullat e gjeneruara. Lexojini përpara se të arrini në përfundimin se një pishinë VPN nuk ka përkthim: kërkoni rrjetin e pishinës në kolonën e burimit dhe ndërfaqen WAN në kolonën e ndërfaqes.

Zgjidhni Hybrid vetëm për një përjashtim të shqyrtuar

Një përjashtim i dokumentuar është ende i mundur kur politika dalëse vërtet ndryshon. Imagjinoni një server që shpërndan 10.90.0.0/24, ku firewali duhet të sigurojë dalje interneti IPv4 dhe rrugëtimi tashmë zgjedh WAN. Transformimi i pritur është që burimi 10.90.0.23 të rishkruhet në adresën WAN. Kontrolloni nëse një rregull i gjeneruar tashmë e bën këtë në atë dalje; nëse jo, Hybrid ruan mbulimin automatik dhe shton rregullin tuaj të shqyrtuar.

Përdorni pishinën reale të VPN-së si burim, ose një alias të mbështetur për të, dhe kurrë mos zgjidhni një adresë të palidhur vetëm sepse emri i instancës OpenVPN mungon në një zgjedhës. Shmangni një burim any, i cili përkthen edhe trafikun që firewali vetë krijon.

Mos e kaloni të gjithë firewalin në Manual për një pishinë të vetme. Ai vendim rishpërndan mirëmbajtjen për çdo rrjet të brendshëm dhe çdo ndryshim të ardhshëm të WAN.

NAT nuk zgjedh daljen

Rrugëtimi zgjedh ndërfaqen dalëse; një rregull NAT dalës përshkruan vetëm si rishkruhet burimi pasi paketa del. Një hartëzim për WAN nuk e detyron një paketë që rrugëtimi e dërgoi diku tjetër të kalojë nëpër WAN, prandaj shtimi i NAT nuk mund të rregullojë një rrugë të gabuar. Shqyrtoni edhe zërat NAT 1:1 të zbatueshëm dhe përjashtimet, sepse rendi ka rëndësi dhe një rresht i re nuk fiton domosdoshmërisht. Dhe faqja dalëse nuk është faqja e filtrimit.

Një burim i përkthyer nuk është leje për të arritur çdo destinacion. Klientët ende kanë nevojë për një rrugë përmes tunelit dhe një rregull firewali që pranon trafikun e tyre, dhe dalja e zgjedhur ka nevojë për një rrugë kthimi funksionale. Mbani aksesin vetëm për LAN të ndarë nga leja për dalje në internet.

Provoni transformimin në një lidhje të re

Pas një ndryshimi të miratuar, provoni me një lidhje të re të autorizuar në vend që të ripërdorni një ekzistuese, sepse gjendjet e vendosura mbajnë transformimin e tyre të mëparshëm. Konfirmoni adresën e burimit që dalin vërtet nga WAN dhe që përgjigja kthehet përmes të njëjtës gjendje. Mos e zbrazni të gjithë tabelën e gjendjeve si hap të parë; kjo fsheh cili rregull ndryshoi rezultatin. Shënoni modalitetin, rregullin, pishinën dhe daljen në tiketën e ndryshimit.

Ky shembull mbulon vetëm daljen IPv4. Nuk thotë asgjë për një përkthim ose politikë filtrimi IPv6, dhe një dizajn që ka nevojë për një të tillë duhet ta deklarojë veçmas. Regjistri i përfunduar liston trafikun e lejuar të klientit, ndërfaqen që e mbart, dhe arsyen pse burimi duhet rishkruar fare.