NAT đi ra của pfSense: hãy đọc các quy tắc được tạo trước

Mở Firewall, rồi NAT, rồi Outbound, và đọc chế độ trước khi thêm bất cứ thứ gì. Ở chế độ Automatic, pfSense tạo quy tắc cho các giao diện WAN và, trong số đó, cho các mạng VPN truy cập từ xa, nên pool bạn sắp thêm thường đã được bao phủ. Việc thiếu một dòng viết tay không phải bằng chứng thiếu bản dịch. Thứ tự dưới đây giúp bạn không phải chuyển toàn bộ tường lửa sang Manual chỉ để giải quyết một pool.

Chế độ quyết định ai duy trì bản dịch cho mọi mạng khác trên thiết bị, và đó là quyết định lớn hơn một ngoại lệ VPN.

Chế độ Automatic đã bao phủ pool VPN

Mỗi chế độ có người phụ trách riêng. Automatic tạo quy tắc cho các giao diện WAN và đưa các mạng VPN truy cập từ xa vào nguồn của nó. Hybrid giữ các quy tắc đã tạo đó và cho phép bạn thêm quy tắc thủ công bên cạnh. Manual ngừng tạo bất cứ thứ gì, nên mọi bản dịch trên tường lửa trở thành trách nhiệm của bạn, kể cả những cái bạn không viết. Cài đặt thứ tư vô hiệu hóa hoàn toàn NAT đi ra. Một dòng trông như viết tay không chứng minh được gì cho đến khi bạn biết chế độ nào đang hoạt động.

Ở Automatic và Hybrid, trang cũng hiển thị các quy tắc đã tạo. Hãy đọc chúng trước khi kết luận một pool VPN không có bản dịch: tìm mạng của pool ở cột nguồn và giao diện WAN ở cột giao diện.

Chỉ chọn Hybrid cho một ngoại lệ đã được xem xét

Một ngoại lệ có tài liệu vẫn khả thi khi chính sách ra thực sự khác. Hãy hình dung một máy chủ cấp phát 10.90.0.0/24, nơi tường lửa phải cung cấp lối ra internet IPv4 và định tuyến đã chọn WAN. Chuyển đổi mong đợi là nguồn 10.90.0.23 được viết lại thành địa chỉ WAN. Kiểm tra xem đã có quy tắc được tạo nào làm việc đó trên lối ra ấy chưa; nếu chưa, Hybrid giữ vùng phủ tự động và thêm quy tắc đã xem xét của bạn.

Dùng pool VPN thực tế làm nguồn, hoặc một bí danh được hỗ trợ cho nó, và đừng bao giờ chọn một địa chỉ không liên quan chỉ vì tên phiên bản OpenVPN không có trong bộ chọn. Tránh nguồn any, vì nó cũng dịch lưu lượng do chính tường lửa tạo ra.

Đừng chuyển toàn bộ tường lửa sang Manual vì một pool. Quyết định đó phân bổ lại việc bảo trì cho mọi mạng nội bộ và mọi thay đổi WAN sau này.

NAT không chọn lối ra

Định tuyến chọn giao diện ra; quy tắc NAT đi ra chỉ mô tả cách nguồn được viết lại sau khi gói tin rời đi. Ánh xạ cho WAN không buộc một gói tin mà định tuyến đã gửi đi nơi khác phải đi qua WAN, đó là lý do thêm NAT không thể sửa một tuyến sai. Hãy kiểm tra cả các mục NAT 1:1 áp dụng được và các ngoại lệ, vì thứ tự quan trọng và một dòng mới không chắc thắng. Và trang đi ra không phải trang lọc.

Nguồn đã dịch không phải là quyền truy cập mọi đích. Máy khách vẫn cần tuyến qua đường hầm và quy tắc tường lửa cho phép lưu lượng của họ, và lối ra đã chọn cần đường quay về hoạt động được. Hãy tách quyền truy cập chỉ LAN khỏi quyền ra internet.

Chứng minh chuyển đổi trên một kết nối mới

Sau một thay đổi được duyệt, hãy kiểm tra bằng một kết nối mới được cấp quyền thay vì dùng lại kết nối sẵn có, vì các trạng thái đã thiết lập giữ chuyển đổi trước đó. Xác nhận địa chỉ nguồn thực sự rời WAN và phản hồi quay về qua cùng trạng thái. Đừng xóa toàn bộ bảng trạng thái như bước đầu tiên; điều đó che mất quy tắc nào đã thay đổi kết quả. Ghi lại chế độ, quy tắc, pool và lối ra trong phiếu thay đổi.

Ví dụ này chỉ bao gồm lối ra IPv4. Nó không nói gì về chuyển đổi hay chính sách lọc IPv6, và một thiết kế cần điều đó phải nêu riêng. Bản ghi hoàn chỉnh liệt kê lưu lượng máy khách được phép, giao diện mang nó, và lý do vì sao nguồn cần được viết lại.