Një përdorues VPN ka nevojë për një printer, jo për të gjithë LAN-in

Rregulli duket i saktë dhe printeri vazhdon të refuzojë. Ose printeri funksionon dhe i njëjti përdorues arrin edhe serverin e skedarëve, gjë që është më keq. Të dyja rezultatet zakonisht vijnë nga i njëjti vend: rregulli i ngushtë u shtua në një grup rregullash që tashmë lejonte diçka më të gjerë. Leximi i rendit efektiv e shpjegon rezultatin para se të shkruhet ndonjë rregull i ri.

Simptoma: rregulli i ngushtë nuk ndryshoi asgjë

Një pishinë VPN e dedikuar, një adresë printeri dhe një rregull lejimi në TCP 631 është një projekt i arsyeshëm. Kur nuk sjell asnjë ndryshim, dyshimi i parë duhet të jetë se trafiku nuk arriti kurrë te ai rregull. Një rregull vendos vetëm për trafikun që arrin në pozicionin e tij në rendin e vlerësimit. Fushat janë të lehta për t’u kontrolluar dhe rrallë janë shkaku i dështimit.

Simptoma e kundërt është më e lehtë për t’u anashkaluar. Detyra e printimit ka sukses, dhe po ashtu një lidhje me një ndarje skedarësh ku ky përdorues nuk duhej të arrinte kurrë. Kjo do të thotë se diçka më e hershme e kishte lejuar tashmë LAN-in.

Të dyja simptomat tregojnë rendin dhe jo fushat e rregullit të ri. Njëri është një rregull që nuk përputhej kurrë, dhe tjetri është një rregull që përputhej shumë herët.

Cili grup rregullash e godet vërtet trafiku

pfSense i vlerëson rregullat sipas ndërfaqes, dhe OpenVPN ka skedën e vet, rregullat e së cilës zbatohen për çdo instancë serveri dhe klienti. Këto rregulla përpunohen para rregullave të caktuara për një ndërfaqe të caktuar OpenVPN. Prandaj një lejim i gjerë i lënë në skedën OpenVPN zbatohet edhe për këtë përdorues, çfarëdo që thotë skeda e ndërfaqes. Kopjojeni këtë rend në regjistrin e ndryshimit, që shqyrtimi ta kontrollojë pa hapur GUI-n.

Kjo është arsyeja pse një lejim i ngushtë i ri nuk mund të heqë akses. Rregullat e murit të zjarrit shtojnë leje dhe nuk ia heqin një përputhjeje të mëparshme.

Lexojeni listën efektive nga lart dhe ndaleni te rregulli i parë që përputhet me trafikun. Ajo përputhje e parë është vendimi, dhe gjithçka poshtë saj është e paarritshme për atë rrjedhë.

Shkruajeni rregullin e lejimit nga detyra e printimit

Filloni nga detyra dhe jo nga printeri. Përdoruesi ka nevojë për shërbimin e printimit në adresën e printerit, prandaj rregulli emërton atë adresë, atë protokoll dhe atë portë. Një alias për pishinën VPN dhe një alias për printerin e mbajnë rregullin të lexueshëm.

Kundërshtoni shtimin e portave të zbulimit ose të administrimit për të kënaqur një magjistar. Një rregull që lejon të gjithë printerin është një politikë tjetër nga ai që lejon një radhë printimi.

Mbajeni vërtetimin e vetë printerit në vend. Një leje rrjeti nuk e zëvendëson atë. Një llogari në nivel radhe është kontrolli i duhur për kush mund të printojë çfarë.

Gjashtë vlera mbartin të gjithë qëllimin: lejim si veprim, IPv4 si familje, TCP si protokoll, aliasi i pishinës si burim, aliasi i printerit si destinacion dhe 631 si portë. Çdo gjë përtej këtyre gjashtë është politikë tjetër nga ajo e kërkuar.

Jepini klientit një rrugë pa leje LAN

Klienti ka nevojë për një rrugë drejt adresës së printerit, dhe ana e zyrës për një rrugë përgjigjeje drejt pishinës VPN. Dërgimi i një /32 të vetme e mban konfigurimin e klientit të ngushtë, gjë që ndihmon në diagnostikim. Nuk është kufiri i autorizimit, sepse klienti mund të shtojë vetë rrugë.

Nëse radha adresohet me emër, përcaktoni veçmas varësinë nga zgjidhësi. Lejimi i të gjithë LAN-it që të zgjidhet një emër është një ndryshim shumë më i madh sesa kërkon detyra.

Zgjidhni me vetëdije midis drejtimit të rrugës përsëri në pishinë dhe përkthimit të burimit. Të dyja funksionojnë, dhe secila fsheh diçka tjetër nga regjistrat.

Provoni refuzimin si dhe detyrën

Dërgoni një detyrë të vogël e jo të ndjeshme nga përdoruesi VPN, më pas provoni një burim i LAN-it që duhet të refuzohet dhe vetë faqja e administrimit e murit të zjarrit. Të tre testet i përkasin të njëjtit sesion, sepse është e vetmja mënyrë për ta parë politikën në tërësi. Një detyrë e suksesshme printimi e vetme nuk provon pothuajse asgjë për kufirin.

Rishikoni IPv6 dhe çdo rrugë tjetër aktive VPN përpara se ta quani vendosjen vetëm-printer. Një grup rregullash i ngushtë në një familje adresash mund të jetë plotësisht i hapur në tjetrën.