pfSense giden NAT: önce oluşturulan kuralları okuyun

Firewall'u, ardından NAT'ı, ardından Outbound'u açın ve bir şey eklemeden önce modu okuyun. Automatic modunda pfSense, WAN arayüzleri için ve bunların arasında uzaktan erişim VPN ağları için kurallar oluşturur, bu yüzden eklemek üzere olduğunuz havuz genellikle zaten kapsanmıştır. Eksik bir elle yazılmış satır, çevirinin eksik olduğunun kanıtı değildir. Aşağıdaki sıra, tek bir havuz için tüm güvenlik duvarını Manual'e geçirmenizi önler.

Mod, cihazdaki diğer her ağ için çeviriyi kimin sürdürdüğüne karar verir ve bu tek bir VPN istisnasından daha büyük bir karardır.

Automatic modu VPN havuzunu zaten kapsar

Her modun farklı bir sahibi vardır. Automatic, WAN arayüzleri için kurallar oluşturur ve uzaktan erişim VPN ağlarını kaynakları arasına katar. Hybrid bu oluşturulan kuralları korur ve yanlarına elle kurallar eklemenize izin verir. Manual hiçbir şey oluşturmayı bırakır, böylece güvenlik duvarındaki her çeviri, yazmadıklarınız dahil, sizin sorumluluğunuza girer. Dördüncü ayar giden NAT'ı tamamen kapatır. Elle yazılmış gibi görünen bir satır, hangi modun etkin olduğunu bilmeden hiçbir şeyi kanıtlamaz.

Automatic ve Hybrid'de sayfa oluşturulan kuralları da gösterir. Bir VPN havuzunun çevirisi olmadığı sonucuna varmadan önce bunları okuyun: kaynak sütununda havuzun ağını, arayüz sütununda WAN arayüzünü arayın.

Hybrid'i yalnızca incelenmiş bir istisna için seçin

Çıkış politikası gerçekten farklı olduğunda belgelenmiş bir istisna hâlâ mümkündür. 10.90.0.0/24 dağıtan bir sunucu düşünün; burada güvenlik duvarı IPv4 internet çıkışı sağlamalı ve yönlendirme zaten WAN'ı seçiyor. Beklenen dönüşüm, kaynak 10.90.0.23'ün WAN adresine yeniden yazılmasıdır. Oluşturulan bir kuralın o çıkışta bunu zaten yapıp yapmadığını kontrol edin; yapmıyorsa Hybrid otomatik kapsamayı korur ve incelediğiniz kuralı ekler.

Kaynak olarak gerçek VPN havuzunu veya onun için desteklenen bir takma adı kullanın ve yalnızca OpenVPN örneğinin adı seçicide yok diye asla ilgisiz bir adres seçmeyin. any kaynağından kaçının; güvenlik duvarının kendisinin oluşturduğu trafiği de çevirir.

Tek bir havuz için tüm güvenlik duvarını Manual'e geçirmeyin. Bu karar, her iç ağ ve gelecekteki her WAN değişikliği için bakımı yeniden atar.

NAT çıkışı seçmez

Çıkış arayüzünü yönlendirme seçer; giden NAT kuralı yalnızca paket çıktıktan sonra kaynağın nasıl yeniden yazıldığını açıklar. WAN için eşleme, yönlendirmenin başka yere gönderdiği bir paketi WAN üzerinden gitmeye zorlamaz, bu yüzden NAT eklemek yanlış rotayı onaramaz. Geçerli 1:1 NAT girdilerini ve istisnaları da inceleyin, çünkü sıra önemlidir ve yeni satır her zaman kazanmaz. Ve giden sayfası filtre sayfası değildir.

Çevrilmiş bir kaynak her hedefe ulaşma izni değildir. İstemciler hâlâ tünelden geçen bir rotaya ve trafiklerini kabul eden bir güvenlik duvarı kuralına ihtiyaç duyar; seçilen çıkışın da çalışan bir dönüş yoluna ihtiyacı vardır. Yalnızca LAN erişimini internet çıkış izninden ayrı tutun.

Dönüşümü yeni bir bağlantıda kanıtlayın

Onaylanmış bir değişiklikten sonra, mevcut bir bağlantıyı yeniden kullanmak yerine yeni yetkili bir bağlantıyla test edin, çünkü yerleşik durumlar önceki dönüşümlerini korur. WAN'dan gerçekten çıkan kaynak adresini ve yanıtın aynı durum üzerinden geri döndüğünü doğrulayın. İlk adım olarak tüm durum tablosunu boşaltmayın; bu, hangi kuralın sonucu değiştirdiğini gizler. Değişiklik kaydına modu, kuralı, havuzu ve çıkışı yazın.

Bu örnek yalnızca IPv4 çıkışını kapsar. IPv6 çevirisi veya filtreleme politikası hakkında hiçbir şey söylemez ve buna ihtiyaç duyan bir tasarım bunu ayrıca belirtmelidir. Tamamlanan kayıt, izin verilen istemci trafiğini, onu taşıyan arayüzü ve kaynağın neden yeniden yazılması gerektiğini listeler.