pfSense utgående NAT: läs de genererade reglerna först

Öppna Firewall, sedan NAT, sedan Outbound, och läs läget innan du lägger till något. I läget Automatic genererar pfSense regler för WAN-gränssnitten och, bland dem, för fjärråtkomst-VPN-nätverk, så poolen du är på väg att lägga till är ofta redan täckt. En saknad handskriven rad är inte bevis för att översättningen saknas. Ordningen nedan hindrar dig från att byta hela brandväggen till Manual för att lösa en enda pool.

Läget avgör vem som underhåller översättningen för varje annat nätverk på enheten, och det är ett större beslut än ett enda VPN-undantag.

Läget Automatic täcker redan VPN-poolen

Varje läge har en egen ägare. Automatic genererar regler för WAN-gränssnitten och inkluderar fjärråtkomst-VPN-nätverk bland sina källor. Hybrid behåller dessa genererade regler och låter dig lägga till manuella bredvid. Manual slutar generera något, så varje översättning på brandväggen blir ditt ansvar, inklusive de du inte skrev. En fjärde inställning inaktiverar utgående NAT helt. En rad som ser handskriven ut bevisar ingenting förrän du vet vilket läge som är aktivt.

I Automatic och Hybrid visar sidan även de genererade reglerna. Läs dem innan du drar slutsatsen att en VPN-pool saknar översättning: leta efter poolens nätverk i källkolumnen och WAN-gränssnittet i gränssnittskolumnen.

Välj Hybrid bara för ett granskat undantag

Ett dokumenterat undantag är fortfarande möjligt när utgångspolicyn verkligen skiljer sig. Tänk dig en server som delar ut 10.90.0.0/24, där brandväggen ska ge IPv4-internetutgång och routingen redan väljer WAN. Den förväntade omvandlingen är att källan 10.90.0.23 skrivs om till WAN-adressen. Kontrollera om en genererad regel redan gör det på den utgången; om inte bevarar Hybrid den automatiska täckningen och lägger till din granskade regel.

Använd den faktiska VPN-poolen som källa, eller ett stödd alias för den, och välj aldrig en orelaterad adress bara för att namnet på OpenVPN-instansen saknas i en väljare. Undvik en källa any, som också översätter trafik som brandväggen själv skapar.

Flytta inte hela brandväggen till Manual för en enda pool. Det beslutet omfördelar underhållet för varje internt nätverk och varje framtida WAN-ändring.

NAT väljer inte utgången

Routingen väljer utgångsgränssnittet; en utgående NAT-regel beskriver bara hur källan skrivs om när ett paket lämnar systemet. En mappning för WAN tvingar inte ett paket som routingen skickat någon annanstans att gå via WAN, och därför kan NAT inte reparera en felaktig rutt. Granska också tillämpliga 1:1 NAT-poster och undantag, eftersom ordningen spelar roll och en ny rad inte nödvändigtvis vinner. Och utgångssidan är inte filtersidan.

En översatt källa är inte tillstånd att nå varje destination. Klienterna behöver fortfarande en rutt genom tunneln och en brandväggsregel som släpper in deras trafik, och den valda utgången behöver en fungerande returväg. Håll LAN-only-åtkomst åtskild från tillstånd för internetutgång.

Bevisa omvandlingen på en ny anslutning

Efter en godkänd ändring, testa med en ny auktoriserad anslutning i stället för att återanvända en befintlig, eftersom etablerade tillstånd behåller sin tidigare omvandling. Bekräfta källadressen som faktiskt lämnar WAN och att svaret kommer tillbaka genom samma tillstånd. Töm inte hela tillståndstabellen som första steg; det döljer vilken regel som ändrade resultatet. Anteckna läget, regeln, poolen och utgången i ändringsärendet.

Det här exemplet täcker bara IPv4-utgång. Det säger ingenting om en IPv6-omvandling eller filtreringspolicy, och en design som behöver en måste ange det separat. Den färdiga posten listar den tillåtna klienttrafiken, gränssnittet som bär den och skälet till att källan överhuvudtaget måste skrivas om.