Кориснику VPN-а потребан је један штампач, а не цела LAN мрежа

Правило изгледа исправно, а штампач и даље одбија. Или штампач ради и исти корисник стиже и до сервера датотека, што је горе. Оба резултата обично долазе са истог места: уско правило је додато скупу правила који је већ дозвољавао нешто шире. Читање ефективног редоследа објашњава резултат пре него што се напише било које ново правило.

Симптом: уско правило није променило ништа

Наменски VPN базен, једна адреса штампача и правило дозволе на TCP 631 разуман је дизајн. Када не даје никакву промену, прва сумња треба да буде да саобраћај никада није стигао до тог правила. Правило одлучује само о саобраћају који стигне на његову позицију у редоследу процене. Поља је лако проверити и она су ретко узрок неуспеха.

Супротни симптом је лакше превидети. Задатак штампе успева, као и веза ка дељеној датотеци до које овај корисник никада није требало да стигне. То значи да је нешто раније већ дозволило LAN.

Оба симптома указују на редослед, а не на поља новог правила. Један је правило које се никада није поклопило, а други је правило које се поклопило прерано.

Који скуп правила саобраћај заправо погађа

pfSense процењује правила по интерфејсу, а OpenVPN има сопствени језичак чија правила важе за сваку инстанцу сервера и клијента. Та правила се обрађују пре правила додељених одређеном OpenVPN интерфејсу. Зато широко допуштање остављено на језичку OpenVPN важи и за овог корисника, шта год језичак интерфејса рекао. Копирајте тај редослед у запис о промени да би преглед могао да га провери без отварања GUI-ја.

Зато ново уско допуштање не може да одузме приступ. Правила заштитног зида додају дозволу и не одузимају је ранијем поклапању.

Читајте ефективну листу одозго и зауставите се на првом правилу које се поклапа са саобраћајем. То прво поклапање је одлука, а све испод је недоступно том току.

Напишите правило дозволе из задатка штампе

Почните од задатка, а не од штампача. Кориснику је потребна услуга штампе на адреси штампача, па правило именује ту адресу, тај протокол и тај порт. Алијас за VPN базен и алијас за штампач држе правило читљивим.

Одуприте се додавању портова за откривање или администрацију да бисте угодили чаробњаку. Правило које пушта цео штампач је другачија политика од оног које пушта ред штампе.

Задржите сопствену аутентификацију штампача. Мрежна дозвола је не замењује. Налог на нивоу реда је правилна контрола тога ко шта може да штампа.

Шест вредности носе целу намеру: допуштање као радња, IPv4 као фамилија, TCP као протокол, алијас базена као извор, алијас штампача као одредиште и 631 као порт. Све изван тих шест је другачија политика од тражене.

Дајте клијенту пут без дозволе за LAN

Клијенту је потребна рута до адресе штампача, а канцеларијској страни повратни пут до VPN базена. Слање једне /32 држи конфигурацију клијента уском, што помаже при дијагностици. То није граница ауторизације, јер клијент може сам да дода руте.

Ако се ред адресира по имену, дефинишите зависност од резолвера одвојено. Дозволити целу LAN да би се једно име решило много је већа промена него што задатак захтева.

Свесно бирајте између рутирања назад у базен и превођења извора. Оба раде, и свако крије нешто другачије од дневника.

Тестирајте и одбијање, као и задатак

Пошаљите један мали, неосетљив задатак од корисника VPN, затим пробајте LAN ресурс који треба да буде одбијен и саму административну страницу заштитног зида. Сва три теста припадају истој сесији, јер је то једини начин да се политика види као целина. Само успешан задатак штампе не доказује скоро ништа о граници.

Прегледајте IPv6 и сваки други активни VPN пут пре него што распоређивање назовете само-штампач. Скуп правила који је узак у једној фамилији адреса може бити потпуно отворен у другој.