pfSense آؤٹ بانڈ NAT: پہلے بنائے گئے قواعد پڑھیں

Firewall کھولیں، پھر NAT، پھر Outbound، اور کچھ بھی شامل کرنے سے پہلے موڈ پڑھیں۔ Automatic موڈ میں pfSense WAN انٹرفیس کے لیے اور ان میں سے ریموٹ رسائی VPN نیٹ ورکس کے لیے قواعد بناتا ہے، اس لیے جو پول آپ شامل کرنے والے ہیں وہ اکثر پہلے ہی ڈھکا ہوتا ہے۔ ہاتھ سے لکھی قطار کا نہ ہونا ترجمے کے نہ ہونے کا ثبوت نہیں۔ نیچے دیا گیا ترتیب آپ کو ایک پول حل کرنے کے لیے پورے فائر وال کو Manual پر بدلنے سے روکتا ہے۔

موڈ طے کرتا ہے کہ ڈیوائس پر ہر دوسرے نیٹ ورک کے لیے ترجمہ کون برقرار رکھتا ہے، اور یہ ایک VPN استثنا سے بڑا فیصلہ ہے۔

Automatic موڈ پہلے ہی VPN پول کو ڈھانپتا ہے

ہر موڈ کا الگ مالک ہوتا ہے۔ Automatic WAN انٹرفیس کے لیے قواعد بناتا ہے اور ریموٹ رسائی VPN نیٹ ورکس کو اپنے ذرائع میں شامل کرتا ہے۔ Hybrid ان بنائے گئے قواعد کو رکھتا ہے اور آپ کو ان کے ساتھ دستی قواعد شامل کرنے دیتا ہے۔ Manual کچھ بھی بنانا بند کر دیتا ہے، اس لیے فائر وال پر ہر ترجمہ، بشمول وہ جو آپ نے نہیں لکھے، آپ کی ذمہ داری بن جاتا ہے۔ چوتھی سیٹنگ آؤٹ بانڈ NAT کو مکمل طور پر بند کر دیتی ہے۔ ہاتھ سے لکھی دکھنے والی قطار اس وقت تک کچھ ثابت نہیں کرتی جب تک آپ کو معلوم نہ ہو کہ کون سا موڈ فعال ہے۔

Automatic اور Hybrid میں صفحہ بنائے گئے قواعد بھی دکھاتا ہے۔ VPN پول کا ترجمہ نہ ہونے کے نتیجے پر پہنچنے سے پہلے انہیں پڑھیں: ماخذ کالم میں پول کا نیٹ ورک اور انٹرفیس کالم میں WAN انٹرفیس تلاش کریں۔

Hybrid صرف جائزہ شدہ استثنا کے لیے منتخب کریں

جب ایگریس پالیسی واقعی مختلف ہو تو دستاویزی استثنا اب بھی ممکن ہے۔ ایسے سرور کا تصور کریں جو 10.90.0.0/24 تقسیم کرتا ہے، جہاں فائر وال کو IPv4 انٹرنیٹ ایگریس فراہم کرنا چاہیے اور روٹنگ پہلے ہی WAN منتخب کرتی ہے۔ متوقع تبدیلی یہ ہے کہ ماخذ 10.90.0.23 کو WAN پتے پر دوبارہ لکھا جائے۔ جانچیں کہ کوئی بنایا گیا قاعدہ اس ایگریس پر یہ پہلے ہی کرتا ہے یا نہیں؛ اگر نہیں، تو Hybrid خودکار احاطہ برقرار رکھتے ہوئے آپ کا جائزہ شدہ قاعدہ شامل کرتا ہے۔

ماخذ کے طور پر اصل VPN پول، یا اس کے لیے معاون عرف استعمال کریں، اور صرف اس لیے کبھی غیر متعلق پتہ منتخب نہ کریں کہ OpenVPN انسٹانس کا نام منتخب کنندہ میں نہیں ہے۔ any ماخذ سے بچیں، جو فائر وال کے خود پیدا کردہ ٹریفک کا بھی ترجمہ کرتا ہے۔

ایک پول کی خاطر پورا فائر وال Manual پر نہ لے جائیں۔ یہ فیصلہ ہر اندرونی نیٹ ورک اور ہر آئندہ WAN تبدیلی کے لیے دیکھ بھال دوبارہ تفویض کرتا ہے۔

NAT ایگریس منتخب نہیں کرتا

روٹنگ ایگریس انٹرفیس منتخب کرتی ہے؛ آؤٹ بانڈ NAT قاعدہ صرف بیان کرتا ہے کہ پیکٹ نکلنے کے بعد ماخذ کیسے دوبارہ لکھا جاتا ہے۔ WAN کے لیے میپنگ روٹنگ کے کسی اور جگہ بھیجے گئے پیکٹ کو WAN سے گزرنے پر مجبور نہیں کرتی، اسی لیے NAT شامل کرنا غلط روٹ درست نہیں کر سکتا۔ قابل اطلاق 1:1 NAT اندراجات اور استثنائیں بھی جانچیں، کیونکہ ترتیب اہم ہے اور نئی قطار لازماً نہیں جیتتی۔ اور آؤٹ بانڈ صفحہ فلٹر صفحہ نہیں ہے۔

ترجمہ شدہ ماخذ ہر منزل تک پہنچنے کی اجازت نہیں ہے۔ کلائنٹس کو اب بھی سرنگ کے ذریعے راستہ اور ان کی ٹریفک قبول کرنے والا فائر وال قاعدہ درکار ہے، اور منتخب ایگریس کو کام کرنے والا واپسی راستہ درکار ہے۔ صرف-LAN رسائی کو انٹرنیٹ-ایگریس اجازت سے الگ رکھیں۔

نئی کنکشن پر تبدیلی ثابت کریں

منظور شدہ تبدیلی کے بعد، موجودہ کنکشن دوبارہ استعمال کرنے کے بجائے نئے مجاز کنکشن سے جانچیں، کیونکہ قائم شدہ حالتیں اپنا سابقہ ترجمہ برقرار رکھتی ہیں۔ تصدیق کریں کہ کون سا ماخذ پتہ واقعی WAN چھوڑتا ہے اور جواب اسی حالت سے واپس آتا ہے۔ پہلے قدم کے طور پر پوری حالت جدول خالی نہ کریں؛ یہ چھپاتا ہے کہ کس قاعدے نے نتیجہ بدلا۔ تبدیلی ٹکٹ میں موڈ، قاعدہ، پول اور ایگریس درج کریں۔

یہ مثال صرف IPv4 ایگریس کا احاطہ کرتی ہے۔ یہ IPv6 ترجمے یا فلٹرنگ پالیسی کے بارے میں کچھ نہیں کہتی، اور جس ڈیزائن کو اس کی ضرورت ہو اسے یہ الگ سے بیان کرنا چاہیے۔ مکمل ریکارڈ میں اجازت یافتہ کلائنٹ ٹریفک، اسے لے جانے والا انٹرفیس، اور یہ کہ ماخذ کو آخر کیوں دوبارہ لکھنا ہے، درج ہوتا ہے۔