pfSense одлазни NAT: прво прочитајте генерисана правила

Отворите Firewall, затим NAT, затим Outbound и прочитајте режим пре него што било шта додате. У режиму Automatic pfSense генерише правила за WAN интерфејсе и, међу њима, за VPN мреже даљинског приступа, па је базен који намеравате да додате често већ покривен. Ред који недостаје није доказ да превод недостаје. Редослед испод вас чува да цео firewall не пребаците на Manual због једног базена.

Режим одређује ко одржава превод за сваку другу мрежу на уређају, што је већа одлука од једног VPN изузетка.

Режим Automatic већ покрива VPN базен

Сваки режим има свог власника. Automatic генерише правила за WAN интерфејсе и укључује VPN мреже даљинског приступа међу своје изворе. Hybrid задржава та генерисана правила и дозвољава вам да поред њих додате ручна. Manual престаје било шта да генерише, па сваки превод на firewall-у постаје ваша одговорност, укључујући оне које нисте написали. Четврто подешавање потпуно искључује одлазни NAT. Ред који изгледа ручно написан не доказује ништа док не сазнате који је режим активан.

У режимима Automatic и Hybrid страница приказује и генерисана правила. Прочитајте их пре него што закључите да VPN базен нема превод: потражите мрежу базена у колони извора и WAN интерфејс у колони интерфејса.

Изаберите Hybrid само за прегледан изузетак

Документован изузетак је и даље могућ када се излазна политика заиста разликује. Замислите сервер који дели 10.90.0.0/24, где firewall треба да обезбеди IPv4 интернет излаз, а рутирање већ бира WAN. Очекивана трансформација је да се извор 10.90.0.23 препише на WAN адресу. Проверите да ли то генерисано правило већ чини на том излазу; ако не, Hybrid задржава аутоматску покривеност и додаје ваше прегледано правило.

Користите стварни VPN базен као извор, или подржани алијас за њега, и никада не бирајте неповезану адресу само зато што име инстанце OpenVPN недостаје у изборнику. Избегавајте извор any, који такође преводи саобраћај који сам firewall ствара.

Не пребацујте цео firewall на Manual због једног базена. Та одлука прераспоређује одржавање за сваку интерну мрежу и сваку будућу WAN промену.

NAT не бира излаз

Рутирање бира излазни интерфејс; правило одлазног NAT-а само описује како се извор преписује након што пакет напусти уређај. Мапирање за WAN не присиљава пакет који је рутирање послало другде да иде преко WAN-а, зато додавање NAT-а не може поправити погрешну руту. Проверите и примењиве 1:1 NAT уносе и изузетке, јер редослед је важан и нови ред не побеђује нужно. А страница одлазног NAT-а није страница филтера.

Преведени извор није дозвола за достизање сваког одредишта. Клијентима и даље треба рута кроз тунел и firewall правило које пропушта њихов саобраћај, а изабраном излазу треба радна повратна путања. Држите приступ само LAN-у одвојено од дозволе за интернет излаз.

Докажите трансформацију на новој конекцији

Након одобрене промене тестирајте новом ауторизованом конекцијом уместо поновне употребе постојеће, јер успостављена стања задржавају ранији превод. Потврдите адресу извора која заиста напушта WAN и да се одговор враћа кроз исто стање. Не испразните целу табелу стања као први потез; то скрива које је правило променило исход. Забележите режим, правило, базен и излаз у тикету промене.

Овај пример покрива само IPv4 излаз. Не говори ништа о IPv6 преводу или политици филтрирања, а дизајн који то треба мора то навести одвојено. Завршени запис наводи дозвољени клијентски саобраћај, интерфејс који га носи и разлог зашто се извор уопште мора преписати.