pfSense NAT ขาออก: อ่านกฎที่สร้างขึ้นก่อน

เปิด Firewall จากนั้น NAT จากนั้น Outbound และอ่านโหมดก่อนเพิ่มสิ่งใด ในโหมด Automatic pfSense จะสร้างกฎสำหรับอินเทอร์เฟซ WAN และในจำนวนนั้นรวมถึงเครือข่าย VPN สำหรับการเข้าถึงระยะไกลด้วย ดังนั้นพูลที่คุณกำลังจะเพิ่มมักถูกครอบคลุมอยู่แล้ว การไม่มีแถวที่เขียนด้วยมือไม่ได้เป็นหลักฐานว่าขาดการแปล ลำดับด้านล่างช่วยไม่ให้คุณสลับไฟร์วอลล์ทั้งเครื่องเป็น Manual เพื่อแก้พูลเดียว

โหมดเป็นตัวกำหนดว่าใครดูแลการแปลสำหรับทุกเครือข่ายอื่นบนอุปกรณ์ ซึ่งเป็นการตัดสินใจที่ใหญ่กว่าข้อยกเว้น VPN หนึ่งรายการ

โหมด Automatic ครอบคลุมพูล VPN อยู่แล้ว

แต่ละโหมดมีเจ้าของต่างกัน Automatic สร้างกฎสำหรับอินเทอร์เฟซ WAN และรวมเครือข่าย VPN สำหรับการเข้าถึงระยะไกลไว้ในแหล่งที่มา Hybrid เก็บกฎที่สร้างขึ้นเหล่านั้นและให้คุณเพิ่มกฎแบบแมนนวลข้าง ๆ ได้ Manual หยุดสร้างสิ่งใด ๆ ดังนั้นทุกการแปลบนไฟร์วอลล์จะกลายเป็นความรับผิดชอบของคุณ รวมถึงรายการที่คุณไม่ได้เขียน การตั้งค่าที่สี่ปิด NAT ขาออกทั้งหมด แถวที่ดูเหมือนเขียนด้วยมือไม่ได้พิสูจน์สิ่งใดจนกว่าคุณจะรู้ว่าโหมดใดทำงานอยู่

ใน Automatic และ Hybrid หน้านี้ยังแสดงกฎที่สร้างขึ้นด้วย อ่านกฎเหล่านั้นก่อนสรุปว่าพูล VPN ไม่มีการแปล: มองหาเครือข่ายของพูลในคอลัมน์แหล่งที่มา และอินเทอร์เฟซ WAN ในคอลัมน์อินเทอร์เฟซ

เลือก Hybrid เฉพาะข้อยกเว้นที่ตรวจสอบแล้ว

ข้อยกเว้นที่บันทึกไว้ยังเป็นไปได้เมื่อนโยบายขาออกแตกต่างจริง ๆ ลองนึกถึงเซิร์ฟเวอร์ที่แจก 10.90.0.0/24 ซึ่งไฟร์วอลล์ควรให้ทางออกอินเทอร์เน็ตแบบ IPv4 และการกำหนดเส้นทางเลือก WAN อยู่แล้ว การแปลงที่คาดไว้คือเขียนแหล่งที่มา 10.90.0.23 ใหม่เป็นที่อยู่ WAN ตรวจสอบว่ามีกฎที่สร้างขึ้นทำเช่นนั้นอยู่แล้วบนทางออกนั้นหรือไม่ ถ้าไม่มี Hybrid จะคงการครอบคลุมอัตโนมัติไว้พร้อมเพิ่มกฎที่คุณตรวจสอบแล้ว

ใช้พูล VPN จริงเป็นแหล่งที่มา หรือนามแฝงที่รองรับสำหรับพูลนั้น และอย่าเลือกที่อยู่ที่ไม่เกี่ยวข้องเพียงเพราะไม่มีชื่ออินสแตนซ์ OpenVPN ในตัวเลือก หลีกเลี่ยงแหล่งที่มา any ซึ่งแปลงทราฟฟิกที่ไฟร์วอลล์สร้างเองด้วย

อย่าสลับไฟร์วอลล์ทั้งเครื่องเป็น Manual เพราะพูลเดียว การตัดสินใจนั้นจะจัดสรรการดูแลใหม่สำหรับทุกเครือข่ายภายในและทุกการเปลี่ยนแปลง WAN ในอนาคต

NAT ไม่ได้เลือกทางออก

การกำหนดเส้นทางเลือกอินเทอร์เฟซขาออก กฎ NAT ขาออกเพียงอธิบายว่าแหล่งที่มาถูกเขียนใหม่อย่างไรหลังจากแพ็กเก็ตออกไป การแมปสำหรับ WAN ไม่ได้บังคับให้แพ็กเก็ตที่การกำหนดเส้นทางส่งไปที่อื่นต้องออกผ่าน WAN ดังนั้นการเพิ่ม NAT จึงซ่อมเส้นทางที่ผิดไม่ได้ ตรวจสอบรายการ NAT 1:1 และข้อยกเว้นที่เกี่ยวข้องด้วย เพราะลำดับมีความสำคัญและแถวใหม่ไม่ได้ชนะเสมอไป และหน้าขาออกไม่ใช่หน้าตัวกรอง

แหล่งที่มาที่ถูกแปลงไม่ใช่การอนุญาตให้เข้าถึงทุกปลายทาง ไคลเอนต์ยังต้องมีเส้นทางผ่านอุโมงค์และกฎไฟร์วอลล์ที่ยอมรับทราฟฟิกของตน และทางออกที่เลือกต้องมีเส้นทางขากลับที่ใช้งานได้ แยกการเข้าถึงเฉพาะ LAN ออกจากสิทธิ์ออกอินเทอร์เน็ต

พิสูจน์การแปลงบนการเชื่อมต่อใหม่

หลังการเปลี่ยนแปลงที่อนุมัติแล้ว ให้ทดสอบด้วยการเชื่อมต่อใหม่ที่ได้รับอนุญาตแทนการใช้การเชื่อมต่อเดิมซ้ำ เพราะสถานะที่สร้างไว้จะคงการแปลงเดิมไว้ ยืนยันที่อยู่แหล่งที่มาที่ออกจาก WAN จริง และการตอบกลับผ่านสถานะเดียวกัน อย่าล้างตารางสถานะทั้งหมดเป็นขั้นตอนแรก เพราะจะซ่อนว่ากฎใดเปลี่ยนผลลัพธ์ บันทึกโหมด กฎ พูล และทางออกในตั๋วเปลี่ยนแปลง

ตัวอย่างนี้ครอบคลุมเฉพาะทางออก IPv4 ไม่ได้กล่าวถึงการแปลงหรือนโยบายกรอง IPv6 และการออกแบบที่ต้องการสิ่งนั้นต้องระบุแยกต่างหาก บันทึกที่เสร็จสมบูรณ์จะระบุทราฟฟิกไคลเอนต์ที่อนุญาต อินเทอร์เฟซที่พามันไป และเหตุผลว่าทำไมต้องเขียนแหล่งที่มาใหม่