pfSense outbound NAT: basahin muna ang mga nabuong patakaran

Buksan ang Firewall, pagkatapos NAT, pagkatapos Outbound, at basahin ang mode bago magdagdag ng anuman. Sa mode na Automatic, gumagawa ang pfSense ng mga patakaran para sa mga interface ng WAN at, kasama ng mga ito, para sa mga network ng remote-access VPN, kaya ang pool na idadagdag mo ay madalas na sakop na. Ang kawalan ng isang kawad na nakasulat sa kamay ay hindi patunay na kulang ang pagsasalin. Ang pagkakasunod-sunod sa ibaba ay pumipigil sa iyo na ilipat ang buong firewall sa Manual para malutas ang isang pool.

Ang mode ang nagpapasya kung sino ang nagpapanatili ng pagsasalin para sa bawat ibang network sa device, at iyon ay mas malaking desisyon kaysa sa isang pagbubukod sa VPN.

Sakop na ng mode na Automatic ang pool ng VPN

Bawat mode ay may ibang may-ari. Gumagawa ang Automatic ng mga patakaran para sa mga interface ng WAN at isinasama ang mga network ng remote-access VPN sa mga pinagmulan nito. Pinapanatili ng Hybrid ang mga nabuong patakarang iyon at hinahayaan kang magdagdag ng manwal sa tabi ng mga ito. Humihinto ang Manual sa paggawa ng anuman, kaya ang bawat pagsasalin sa firewall ay nagiging responsibilidad mo, kasama na ang hindi mo isinulat. Ang ikaapat na setting ay ganap na nagpapahinto sa outbound NAT. Ang isang hilera na mukhang nakasulat sa kamay ay walang pinapatunayan hanggang malaman mo kung aling mode ang aktibo.

Sa Automatic at Hybrid, ipinapakita rin ng pahina ang mga nabuong patakaran. Basahin ang mga ito bago magpasya na walang pagsasalin ang isang pool ng VPN: hanapin ang network ng pool sa hanay ng pinagmulan at ang interface ng WAN sa hanay ng interface.

Piliin lamang ang Hybrid para sa isang nasuring pagbubukod

Posible pa rin ang isang nakadokumentong pagbubukod kapag talagang naiiba ang patakaran sa labasan. Isipin ang isang server na namamahagi ng 10.90.0.0/24, kung saan dapat magbigay ang firewall ng labasan sa internet na IPv4 at pinipili na ng routing ang WAN. Ang inaasahang pagbabago ay ang pinagmulang 10.90.0.23 ay muling isusulat sa address ng WAN. Suriin kung may nabuong patakaran nang gumagawa nito sa labasang iyon; kung wala, pinapanatili ng Hybrid ang awtomatikong saklaw at idinadagdag ang iyong nasuring patakaran.

Gamitin ang tunay na pool ng VPN bilang pinagmulan, o isang sinusuportahang alias para dito, at huwag kailanman pumili ng walang kaugnayang address dahil lang wala ang pangalan ng instance ng OpenVPN sa isang tagapili. Iwasan ang pinagmulang any, na nagsasalin din ng trapikong ginagawa ng firewall mismo.

Huwag ilipat ang buong firewall sa Manual dahil sa isang pool. Ang desisyong iyon ay muling nagtatalaga ng pagpapanatili para sa bawat panloob na network at bawat hinaharap na pagbabago sa WAN.

Hindi pinipili ng NAT ang labasan

Ang routing ang pumipili ng interface ng labasan; inilalarawan lamang ng outbound NAT na patakaran kung paano muling isusulat ang pinagmulan pagkatapos lumabas ang packet. Hindi pinipilit ng pagmamapa para sa WAN ang isang packet na ipinadala ng routing sa ibang lugar na dumaan sa WAN, kaya hindi kayang ayusin ng pagdagdag ng NAT ang maling ruta. Suriin din ang mga naaangkop na entry ng NAT 1:1 at mga pagbubukod, dahil mahalaga ang pagkakasunod-sunod at hindi laging nananalo ang bagong hilera. At ang pahina ng labasan ay hindi ang pahina ng filter.

Ang isinaling pinagmulan ay hindi pahintulot na maabot ang bawat destinasyon. Kailangan pa rin ng mga kliyente ng ruta sa pamamagitan ng tunnel at patakaran ng firewall na tumatanggap sa kanilang trapiko, at ang napiling labasan ay kailangan ng gumaganang daan pabalik. Panatilihing hiwalay ang access na LAN lamang sa pahintulot sa labasan ng internet.

Patunayan ang pagbabago sa isang bagong koneksyon

Pagkatapos ng aprubadong pagbabago, subukan gamit ang isang bagong awtorisadong koneksyon sa halip na gamitin muli ang isang umiiral, dahil pinapanatili ng mga naitatag na estado ang kanilang dating pagbabago. Kumpirmahin ang address ng pinagmulan na talagang lumalabas sa WAN at ang tugon ay bumabalik sa parehong estado. Huwag buhusan ang buong talahanayan ng estado bilang unang hakbang; itinatago niyaon kung aling patakaran ang nagbago ng resulta. Itala ang mode, patakaran, pool, at labasan sa tiket ng pagbabago.

Ang halimbawang ito ay sumasaklaw lamang sa labasan ng IPv4. Wala itong sinasabi tungkol sa pagsasalin o patakaran ng pag-filter ng IPv6, at ang isang disenyong nangangailangan niyon ay dapat sabihin ito nang hiwalay. Inililista ng natapos na talaan ang pinahintulutang trapiko ng kliyente, ang interface na nagdadala nito, at ang dahilan kung bakit kailangang muling isulat ang pinagmulan.