Mtumiaji wa VPN anahitaji kichapishi kimoja, si LAN yote

Kanuni inaonekana sahihi na kichapishi bado kinakataa. Au kichapishi kinafanya kazi na mtumiaji huyo huyo anafikia pia seva ya faili, jambo ambalo ni baya zaidi. Matokeo yote mawili kwa kawaida hutoka mahali pamoja: kanuni nyembamba iliongezwa kwenye seti ya kanuni zilizokuwa zimeruhusu kitu kipana zaidi. Kusoma mpangilio halisi hueleza matokeo kabla ya kuandika kanuni yoyote mpya.

Dalili: kanuni nyembamba haikubadilisha chochote

Bwawa maalum la VPN, anwani moja ya kichapishi na kanuni ya kuruhusu kwenye TCP 631 ni muundo unaofaa. Pale ambapo haileti mabadiliko yoyote, shaka ya kwanza inapaswa kuwa kwamba trafiki haikufika kamwe kwenye kanuni hiyo. Kanuni huamua tu kuhusu trafiki inayofika mahali pake katika mpangilio wa tathmini. Sehemu ni rahisi kukagua na mara chache ndizo sababu ya kushindwa.

Dalili kinyume ni rahisi zaidi kuipuuza. Kazi ya uchapishaji inafanikiwa, na pia muunganisho wa kushiriki faili ambao mtumiaji huyu hakupaswa kufikia kamwe. Hiyo inamaanisha kwamba kitu cha awali kilikuwa kimeruhusu LAN.

Dalili zote mbili zinaelekeza kwenye mpangilio na si kwenye sehemu za kanuni mpya. Moja ni kanuni ambayo haikulingana kamwe, na nyingine ni kanuni iliyolingana mapema mno.

Ni seti gani ya kanuni trafiki inayogusa kweli

pfSense hutathmini kanuni kwa kila kiolesura, na OpenVPN ina kichupo chake ambacho kanuni zake zinatumika kwa kila kielekezi cha seva na mteja. Kanuni hizo huchakatwa kabla ya kanuni zilizopangwa kwa kiolesura mahususi cha OpenVPN. Kwa hiyo ruhusa pana inayoachwa kwenye kichupo cha OpenVPN inatumika pia kwa mtumiaji huyu, chochote kichupo cha kiolesura kinachosema. Nakili mpangilio huo kwenye kumbukumbu ya mabadiliko ili ukaguzi uweze kuuangalia bila kufungua GUI.

Ndiyo sababu ruhusa nyembamba mpya haiwezi kuondoa ufikiaji. Kanuni za firewall zinaongeza idhini na haziondoi kutoka kwenye ulinganifu wa awali.

Soma orodha halisi kutoka juu na usimame kwenye kanuni ya kwanza inayolingana na trafiki. Ulinganifu huo wa kwanza ndio uamuzi, na kila kitu chini yake hakiwezi kufikiwa na mtiririko huo.

Andika kanuni ya kuruhusu kutoka kazi ya uchapishaji

Anza na kazi, si kichapishi. Mtumiaji anahitaji huduma ya uchapishaji kwenye anwani ya kichapishi, kwa hiyo kanuni inataja anwani hiyo, itifaki hiyo na bandari hiyo. Jina lingine la bwawa la VPN na jina lingine la kichapishi huweka kanuni hiyo ikiwa rahisi kusoma.

Pinga mwelekeo wa kuongeza bandari za ugunduzi au usimamizi ili kumfurahisha mchawi. Kanuni inayoruhusu kichapishi chote ni sera tofauti na ile inayoruhusu foleni ya uchapishaji.

Weka uthibitishaji wa kichapishi chenyewe mahali pake. Ruhusa ya mtandao haichukui nafasi yake. Akaunti ya ngazi ya foleni ndio udhibiti sahihi wa nani anaweza kuchapisha nini.

Thamani sita hubeba nia yote: ruhusa kama kitendo, IPv4 kama familia, TCP kama itifaki, jina la bwawa kama chanzo, jina la kichapishi kama lengwa na 631 kama bandari. Chochote zaidi ya hizo sita ni sera tofauti na ile iliyoombwa.

Mpe mteja njia bila ruhusa ya LAN

Mteja anahitaji njia kwenda anwani ya kichapishi, na upande wa ofisi unahitaji njia ya jibu kwenda bwawa la VPN. Kutuma /32 moja tu huweka usanidi wa mteja nyembamba, jambo linalosaidia utatuzi wa matatizo. Hiyo si mpaka wa uidhinishaji, kwa sababu mteja anaweza kuongeza njia mwenyewe.

Ikiwa foleni inashughulikiwa kwa jina, eleza utegemezi wa kisuluhishi kando. Kuruhusu LAN yote ili jina moja litatuliwe ni mabadiliko makubwa zaidi kuliko yanayohitajika na kazi.

Chagua kwa uangalifu kati ya kuelekeza njia kurudi kwenye bwawa na kutafsiri chanzo. Zote mbili zinafanya kazi, na kila moja huficha kitu tofauti kwenye kumbukumbu.

Jaribu kukataliwa pamoja na kazi

Tuma kazi moja ndogo isiyo nyeti kutoka kwa mtumiaji wa VPN, kisha jaribu rasilimali ya LAN inayopaswa kukataliwa na ukurasa wa usimamizi wa firewall wenyewe. Majaribio yote matatu ni ya kikao kimoja, kwa sababu ndiyo njia pekee ya kuona sera kwa ujumla wake. Kazi ya uchapishaji iliyofanikiwa pekee haithibitishi karibu chochote kuhusu mpaka.

Pitia IPv6 na njia yoyote nyingine hai ya VPN kabla ya kuita usambazaji huo wa kichapishi pekee. Seti ya kanuni nyembamba katika familia moja ya anwani inaweza kuwa wazi kabisa katika nyingine.