Користувачу VPN потрібен один принтер, а не вся локальна мережа

Правило виглядає правильним, а принтер усе одно відмовляє. Або принтер працює, і той самий користувач потрапляє ще й на файловий сервер, що гірше. Обидва результати зазвичай походять з одного місця: вузьке правило додали до набору правил, який уже дозволяв дещо ширше. Читання чинного порядку пояснює результат до написання будь-якого нового правила.

Симптом: вузьке правило нічого не змінило

Виділений пул VPN, одна адреса принтера й правило дозволу на TCP 631 — розумний проєкт. Коли воно взагалі не дає змін, першою підозрою має бути те, що трафік так і не дійшов до цього правила. Правило вирішує лише для трафіку, який доходить до його позиції в порядку оцінювання. Поля легко перевірити, і вони рідко бувають причиною збою.

Протилежний симптом помітити легше. Завдання друку проходить, а також проходить з'єднання з файловим ресурсом, до якого цей користувач не мав дістатися. Це означає, що щось раніше вже дозволяло локальну мережу.

Обидва симптоми вказують на порядок, а не на поля нового правила. Одне з них — правило, яке ніколи не збігалося, а друге — правило, що збіглося зарано.

До якого набору правил трафік справді потрапляє

pfSense оцінює правила для кожного інтерфейсу, а OpenVPN має власну вкладку, правила якої діють для кожного екземпляра сервера й клієнта. Ці правила обробляються раніше за правила, призначені конкретному інтерфейсу OpenVPN. Тому широкий дозвіл, залишений на вкладці OpenVPN, діє й для цього користувача, хоч би що казала вкладка інтерфейсу. Скопіюйте цей порядок у запис про зміну, щоб перевірка могла його побачити, не відкриваючи GUI.

Саме тому новий вузький дозвіл не може забрати доступ. Правила міжмережевого екрана додають дозвіл і не забирають його в ранішого збігу.

Читайте чинний список згори й зупиніться на першому правилі, що збігається з трафіком. Цей перший збіг і є рішенням, а все нижче для цього потоку недосяжне.

Напишіть правило дозволу від завдання друку

Починайте із завдання, а не з принтера. Користувачу потрібна служба друку на адресі принтера, тому правило називає цю адресу, цей протокол і цей порт. Псевдонім для пулу VPN і псевдонім для принтера зберігають правило читабельним.

Опирайтеся додаванню портів виявлення чи адміністрування, щоб догодити майстру. Правило, яке пропускає весь принтер, — це інша політика, ніж те, яке пропускає чергу друку.

Залиште власну автентифікацію принтера на місці. Мережевий дозвіл її не замінює. Обліковий запис на рівні черги — правильний контроль того, хто що може друкувати.

Шість значень несуть увесь задум: дозвіл як дія, IPv4 як родина, TCP як протокол, псевдонім пулу як джерело, псевдонім принтера як призначення й 631 як порт. Усе поза цими шістьма — інша політика, ніж запитана.

Дайте клієнту шлях без дозволу на локальну мережу

Клієнту потрібен маршрут до адреси принтера, а офісному боці — зворотний шлях до пулу VPN. Надсилання одного /32 зберігає конфігурацію клієнта вузькою, що допомагає в діагностиці. Це не межа авторизації, бо клієнт може сам додавати маршрути.

Якщо черга адресується за іменем, визначте залежність від резолвера окремо. Дозволяти всю локальну мережу, щоб розв'язалося одне ім'я, — значно більша зміна, ніж вимагає завдання.

Свідомо обирайте між маршрутизацією назад у пул і трансляцією джерела. Працює і те, і те, і кожне приховує від журналів щось своє.

Перевірте і відмову, і завдання

Надішліть одне невелике, неконфіденційне завдання від користувача VPN, потім спробуйте ресурс локальної мережі, який має бути відхилено, і власну сторінку адміністрування міжмережевого екрана. Усі три тести належать до одного сеансу, бо лише так політика видна загалом. Одне успішне завдання друку саме собою майже нічого не доводить про межу.

Перегляньте IPv6 і будь-який інший активний шлях VPN, перш ніж називати розгортання лише-принтерним. Набір правил, вузький в одній родині адрес, може бути цілком відкритим в іншій.