Ang isang VPN user ay kailangan ng isang printer, hindi ang buong LAN

Mukhang tama ang tuntunin at tumatanggi pa rin ang printer. O gumagana ang printer at naaabot din ng parehong user ang file server, na mas masama. Ang dalawang resulta ay karaniwang nagmumula sa isang lugar: ang makitid na tuntunin ay idinagdag sa isang hanay ng mga tuntunin na nagpapahintulot na ng mas malawak. Ang pagbasa ng epektibong pagkakasunod-sunod ay nagpapaliwanag ng resulta bago pa man isulat ang anumang bagong tuntunin.

Ang sintomas: walang binago ang makitid na tuntunin

Isang nakalaang VPN pool, isang address ng printer at isang tuntunin ng pagpapahintulot sa TCP 631 ay isang makatwirang disenyo. Kapag wala itong dulot na pagbabago, ang unang hinala ay dapat na hindi kailanman umabot ang trapiko sa tuntuning iyon. Ang tuntunin ay nagpapasya lamang para sa trapikong umabot sa posisyon nito sa pagkakasunod-sunod ng pagsusuri. Ang mga patlang ay madaling suriin at bihirang maging sanhi ng kabiguan.

Ang kabaligtarang sintomas ay mas madaling makaligtaan. Nagtagumpay ang trabaho sa pag-print, gayundin ang isang koneksyon sa isang file share na hindi dapat maabot ng user na ito. Nangangahulugan iyon na may nauna nang nagpahintulot sa LAN.

Ang dalawang sintomas ay tumuturo sa pagkakasunod-sunod at hindi sa mga patlang ng bagong tuntunin. Ang isa ay tuntuning hindi kailanman tumugma, at ang isa ay tuntuning tumugma nang masyadong maaga.

Aling hanay ng tuntunin ang talagang tinatamaan ng trapiko

Sinusuri ng pfSense ang mga tuntunin bawat interface, at ang OpenVPN ay may sariling tab na ang mga tuntunin ay nalalapat sa bawat instance ng server at client. Ang mga tuntuning iyon ay pinoproseso bago ang mga tuntuning itinalaga sa isang partikular na interface ng OpenVPN. Kaya ang malawak na pagpapahintulot na naiwan sa tab ng OpenVPN ay nalalapat din sa user na ito, anuman ang sabihin ng tab ng interface. Kopyahin ang pagkakasunod-sunod na iyon sa talaan ng pagbabago upang masuri ito ng pagsusuri nang hindi binubuksan ang GUI.

Iyon ang dahilan kung bakit ang bagong makitid na pagpapahintulot ay hindi makakabawas ng access. Ang mga tuntunin ng firewall ay nagdaragdag ng pahintulot at hindi ito inaalis sa naunang pagtutugma.

Basahin ang epektibong listahan mula sa itaas at huminto sa unang tuntuning tumutugma sa trapiko. Ang unang pagtutugma ay ang pasya, at lahat ng nasa ibaba nito ay hindi maabot para sa daloy na iyon.

Isulat ang tuntunin ng pagpapahintulot mula sa trabaho sa pag-print

Magsimula sa trabaho at hindi sa printer. Kailangan ng user ang serbisyo ng pag-print sa address ng printer, kaya pinapangalanan ng tuntunin ang address na iyon, ang protocol na iyon at ang port na iyon. Ang isang alias para sa VPN pool at isang alias para sa printer ay nagpapanatiling madaling basahin ang tuntunin.

Labanan ang tukso na magdagdag ng mga port ng pagtuklas o pangangasiwa upang mapasaya ang isang wizard. Ang tuntuning nagpapahintulot sa buong printer ay ibang patakaran kaysa sa isang nagpapahintulot sa isang pila ng pag-print.

Panatilihin ang sariling pagpapatotoo ng printer. Ang pahintulot sa network ay hindi kapalit nito. Ang account sa antas ng pila ang tamang kontrol sa kung sino ang maaaring mag-print ng ano.

Anim na halaga ang nagdadala ng buong layunin: pagpapahintulot bilang aksyon, IPv4 bilang pamilya, TCP bilang protocol, ang alias ng pool bilang pinagmulan, ang alias ng printer bilang destinasyon at 631 bilang port. Anumang lampas sa anim na iyon ay ibang patakaran kaysa sa hiniling.

Bigyan ang client ng landas na walang pahintulot sa LAN

Kailangan ng client ng ruta patungo sa address ng printer, at ang panig ng opisina ay kailangan ng landas ng pagtugon patungo sa VPN pool. Ang pag-push ng isang /32 lamang ay nagpapanatiling makitid ang configuration ng client, na tumutulong sa pag-troubleshoot. Hindi ito ang hangganan ng awtorisasyon, dahil ang client mismo ay makakapagdagdag ng mga ruta.

Kung ang pila ay inaaddress sa pamamagitan ng pangalan, tukuyin nang hiwalay ang dependency sa resolver. Ang pagpapahintulot sa buong LAN upang malutas ang isang pangalan ay mas malaking pagbabago kaysa sa hinihingi ng trabaho.

Sadyang pumili sa pagitan ng pag-route pabalik sa pool at ng pagsasalin ng pinagmulan. Gumagana ang dalawa, at bawat isa ay may itinatagong iba mula sa mga log.

Subukan ang pagtanggi gayundin ang trabaho

Magsumite ng isang maliit at hindi sensitibong trabaho mula sa user ng VPN, pagkatapos subukan ang isang mapagkukunan ng LAN na dapat tanggihan at ang sariling pahina ng pangangasiwa ng firewall. Ang tatlong pagsubok ay kabilang sa parehong sesyon, dahil iyon lamang ang paraan upang makita ang patakaran sa kabuuan. Ang matagumpay na trabaho sa pag-print lamang ay halos walang pinatutunayan tungkol sa hangganan.

Suriin ang IPv6 at anumang iba pang aktibong landas ng VPN bago tawagin ang deployment na printer-lamang. Ang isang hanay ng tuntunin na makitid sa isang pamilya ng address ay maaaring ganap na bukas sa isa.