VPN foydalanuvchisiga bitta printer kerak, butun LAN emas

Qoida to‘g‘ri ko‘rinadi, printer esa baribir rad etadi. Yoki printer ishlaydi va o‘sha foydalanuvchi fayl serveriga ham yetib boradi, bu esa yomonroq. Ikkala natija odatda bir joydan keladi: tor qoida allaqachon kengroq narsaga ruxsat bergan qoidalar to‘plamiga qo‘shilgan. Amaldagi tartibni o‘qish yangi qoida yozilishidan oldin natijani tushuntiradi.

Belgi: tor qoida hech narsani o‘zgartirmadi

Ajratilgan VPN hovuzi, bitta printer manzili va TCP 631 dagi ruxsat qoidasi oqilona loyiha. U umuman o‘zgarish bermasa, birinchi shubha trafik hech qachon bu qoidaga yetmaganligi bo‘lishi kerak. Qoida faqat baholash tartibida o‘z o‘rniga yetib kelgan trafik haqida qaror qabul qiladi. Maydonlarni tekshirish oson va ular kamdan-kam muvaffaqiyatsizlik sababi bo‘ladi.

Qarama-qarshi belgini o‘tkazib yuborish osonroq. Chop etish ishi muvaffaqiyatli bo‘ladi, shu foydalanuvchi hech qachon yetib bormasligi kerak bo‘lgan fayl almashinuviga ulanish ham muvaffaqiyatli bo‘ladi. Bu avvalroq nima dir LANga ruxsat berganini bildiradi.

Ikkala belgi ham yangi qoidaning maydonlariga emas, tartibga ishora qiladi. Ulardan biri hech qachon mos kelmagan qoida, ikkinchisi esa juda erta mos kelgan qoida.

Trafik aslida qaysi qoidalar to‘plamiga tushadi

pfSense qoidalarni har bir interfeys bo‘yicha baholaydi, OpenVPN esa har bir server va klient nusxasiga tegishli o‘z yorlig‘iga ega. Bu qoidalar muayyan OpenVPN interfeysiga tayinlangan qoidalardan oldin qayta ishlanadi. Shuning uchun OpenVPN yorlig‘ida qoldirilgan keng ruxsat interfeys yorlig‘i nima desa ham bu foydalanuvchiga ham tegishli. Bu tartibni o‘zgartirish yozuviga ko‘chiring, shunda ko‘rib chiqish GUI ochmasdan tekshira oladi.

Shu sababli yangi tor ruxsat kirishni tortib olmaydi. Xavfsizlik devori qoidalari ruxsat qo‘shadi va uni avvalgi moslikdan olmaydi.

Amaldagi ro‘yxatni yuqoridan o‘qib, trafikka mos keladigan birinchi qoidada to‘xtang. O‘sha birinchi moslik qaror, undan pastdagi hamma narsa bu oqim uchun yetib bo‘lmaydigan.

Ruxsat qoidasini chop etish ishidan yozing

Printerdan emas, ishdan boshlang. Foydalanuvchiga printer manzilidagi chop etish xizmati kerak, shuning uchun qoida o‘sha manzilni, o‘sha protokolni va o‘sha portni nomlaydi. VPN hovuzi uchun taxallus va printer uchun taxallus qoidani o‘qish uchun qulay saqlaydi.

Sehrgarni xursand qilish uchun aniqlash yoki boshqarish portlarini qo‘shish istagiga qarshi turing. Butun printerni ruxsat beruvchi qoida chop etish navbatiga ruxsat beruvchi qoidadan boshqa siyosat.

Printerning o‘z autentifikatsiyasini joyida qoldiring. Tarmoq ruxsati uni almashtirmaydi. Navbat darajasidagi hisob kim nima chop eta olishini to‘g‘ri boshqaradi.

Olti qiymat butun niyatni olib yuradi: harakat sifatida ruxsat, oila sifatida IPv4, protokol sifatida TCP, manba sifatida hovuz taxallusi, manzil sifatida printer taxallusi va port sifatida 631. Bu oltitadan tashqarisidagi har qanday narsa so‘ralgandan boshqa siyosat.

Klientga LAN ruxsatisiz yo‘l bering

Klientga printer manziliga marshrut kerak, ofis tomoniga esa VPN hovuziga javob yo‘li kerak. Bitta /32 yuborish klient konfiguratsiyasini tor saqlaydi, bu nosozliklarni bartaraf etishga yordam beradi. Bu avtorizatsiya chegarasi emas, chunki klient o‘zi marshrutlar qo‘shishi mumkin.

Agar navbat nom bilan manzillansa, rezolverga bog‘liqlikni alohida belgilang. Bitta nom hal bo‘lishi uchun butun LANga ruxsat berish ish talab qilganidan ancha katta o‘zgarish.

Hovuzga qaytish marshrutlash va manbani tarjima qilish o‘rtasida ongli tanlov qiling. Ikkalasi ham ishlaydi va har biri jurnallardan boshqa narsani yashiradi.

Ish bilan birga rad etishni ham sinab ko‘ring

VPN foydalanuvchisidan bitta kichik, nozik bo‘lmagan ish yuboring, so‘ng rad etilishi kerak bo‘lgan LAN resursini va xavfsizlik devorining o‘z boshqaruv sahifasini sinab ko‘ring. Uchala sinov ham bitta sessiyaga tegishli, chunki siyosatni butun holda ko‘rishning yagona yo‘li shu. Faqat muvaffaqiyatli chop etish ishi chegara haqida deyarli hech narsani isbotlamaydi.

Joylashtirishni faqat-printer deb atashdan oldin IPv6 va boshqa faol VPN yo‘lini ko‘rib chiqing. Bir manzil oilasida tor qoidalar to‘plami boshqasida butunlay ochiq bo‘lishi mumkin.