pfSense chiqish NAT: avval yaratilgan qoidalarni o'qing

Firewall, keyin NAT, keyin Outbound bo'limini oching va biror narsa qo'shishdan oldin rejimni o'qing. Automatic rejimida pfSense WAN interfeyslari uchun va ular orasida masofaviy kirish VPN tarmoqlari uchun qoidalar yaratadi, shuning uchun qo'shmoqchi bo'lgan hovuzingiz ko'pincha allaqachon qoplangan. Qo'lda yozilgan satrning yo'qligi tarjima yo'qligiga dalil emas. Quyidagi tartib bitta hovuzni hal qilish uchun butun firewallni Manual rejimiga o'tkazishingizga yo'l qo'ymaydi.

Rejim qurilmadagi har bir boshqa tarmoq uchun tarjimani kim saqlab turishini belgilaydi va bu bitta VPN istisnosidan kattaroq qaror.

Automatic rejimi VPN hovuzini allaqachon qoplaydi

Har bir rejimning o'z egasi bor. Automatic WAN interfeyslari uchun qoidalar yaratadi va masofaviy kirish VPN tarmoqlarini o'z manbalari qatoriga qo'shadi. Hybrid o'sha yaratilgan qoidalarni saqlaydi va ularning yoniga qo'lda qoidalar qo'shishga imkon beradi. Manual hech narsa yaratishni to'xtatadi, shuning uchun firewalldagi har bir tarjima, siz yozmaganlar ham, sizning mas'uliyatingizga aylanadi. To'rtinchi sozlama chiqish NATini butunlay o'chiradi. Qo'lda yozilganga o'xshagan satr qaysi rejim faol ekanini bilmaguningizcha hech narsani isbotlamaydi.

Automatic va Hybridda sahifa yaratilgan qoidalarni ham ko'rsatadi. VPN hovuzida tarjima yo'q degan xulosaga kelishdan oldin ularni o'qing: manba ustunidan hovuz tarmog'ini, interfeys ustunidan WAN interfeysini qidiring.

Hybridni faqat ko'rib chiqilgan istisno uchun tanlang

Chiqish siyosati haqiqatan farq qilganda hujjatlashtirilgan istisno hali ham mumkin. 10.90.0.0/24 tarqatadigan serverni tasavvur qiling, u yerda firewall IPv4 internet chiqishini ta'minlashi kerak va marshrutlash allaqachon WANni tanlaydi. Kutilayotgan o'zgarish manba 10.90.0.23 ning WAN manziliga qayta yozilishidir. Yaratilgan qoida o'sha chiqishda buni allaqachon qiladimi-yo'qmi tekshiring; agar qilmasa, Hybrid avtomatik qoplamani saqlab, sizning ko'rib chiqilgan qoidangizni qo'shadi.

Manba sifatida haqiqiy VPN hovuzini yoki uning uchun qo'llab-quvvatlanadigan taxallusni ishlating va faqat OpenVPN nusxasi nomi tanlagichda yo'qligi sababli hech qachon aloqasiz manzilni tanlamang. any manbasidan qoching, u firewall o'zi yaratadigan trafikni ham tarjima qiladi.

Bitta hovuz uchun butun firewallni Manual rejimiga o'tkazmang. Bu qaror har bir ichki tarmoq va har bir kelgusi WAN o'zgarishi uchun xizmat ko'rsatishni qayta taqsimlaydi.

NAT chiqishni tanlamaydi

Chiqish interfeysini marshrutlash tanlaydi; chiqish NAT qoidasi faqat paket chiqqandan keyin manba qanday qayta yozilishini tavsiflaydi. WAN uchun xaritalash marshrutlash boshqa joyga yuborgan paketni WAN orqali o'tishga majburlamaydi, shuning uchun NAT qo'shish noto'g'ri marshrutni tuzata olmaydi. Amaldagi 1:1 NAT yozuvlari va istisnolarni ham tekshiring, chunki tartib muhim va yangi satr har doim ham g'alaba qozonmaydi. Va chiqish sahifasi filtr sahifasi emas.

Tarjima qilingan manba har qanday manzilga yetish uchun ruxsat emas. Mijozlarga hali ham tunnel orqali marshrut va ularning trafigini qabul qiladigan firewall qoidasi kerak, tanlangan chiqishga esa ishlaydigan qaytish yo'li kerak. Faqat-LAN kirishni internet-chiqish ruxsatidan alohida saqlang.

O'zgarishni yangi ulanishda isbotlang

Tasdiqlangan o'zgarishdan keyin mavjud ulanishni qayta ishlatish o'rniga yangi ruxsat etilgan ulanish bilan sinab ko'ring, chunki o'rnatilgan holatlar avvalgi o'zgarishini saqlaydi. WANni haqiqatan tark etuvchi manba manzilini va javob o'sha holat orqali qaytishini tasdiqlang. Birinchi qadam sifatida butun holat jadvalini tozalamang; bu qaysi qoida natijani o'zgartirganini yashiradi. O'zgarish chiptasida rejim, qoida, hovuz va chiqishni yozib qo'ying.

Bu misol faqat IPv4 chiqishini qamrab oladi. IPv6 tarjimasi yoki filtrlash siyosati haqida hech narsa demaydi va bunga muhtoj dizayn buni alohida ko'rsatishi kerak. Yakuniy yozuv ruxsat etilgan mijoz trafigini, uni tashuvchi interfeysni va manba nima uchun umuman qayta yozilishi kerakligini sanab o'tadi.