جسر TAP الافتراضي في pfSense: ثلاثة مواضع يموت فيها الإطار

تعطّل قاعدة على واجهة LAN، ومع ذلك يختفي الإطار، فتستنتج أن pfSense يتجاهل جدار الحماية الخاص به. ما حدث عادةً هو أن مالكاً آخر اتخذ القرار: الجسر نفسه، أو واجهة العضو، أو المبدّل الافتراضي خارج الضيف. لكل منها تحكّمه وسجله الخاص.

الحدود الثلاثة أدناه تستحق الفصل قبل تغيير أي إعداد، لأن تعطيل أحدها لا يعوّض عن الآخر.

إطار واحد وثلاثة مالكي سياسة

يدخل الإطار من عميل TAP عبر جهاز النفق، ويعبر جسر pfSense، ويخرج عبر عضو LAN، ثم يمر بمبدّل افتراضي قبل أن يصل إلى أي شيء. داخل الضيف يمكن أن يحدث الترشيح على الجسر أو على واجهات الأعضاء، وأيّهما نشط خيار إعداد لا خاصية ثابتة. وخارج الضيف يقرّر الهايبرفايزر ما إذا كان لذلك المحوّل الافتراضي أن يرسل إطارات بعنوان MAC مصدر لا يملكه. الإسقاط عند أي من تلك النقاط يبدو متطابقاً من جهة العميل.

اكتب المسار المقصود قبل التحقيق: عضو النفق، الجسر، عضو LAN، المبدّل الافتراضي، الوجهة. ثم اسأل أي مالك على ذلك المسار كان سيرى الإطار.

أي تحكّم في pfSense يقوم بالترشيح

يوثّق pfSense متغيّرَي sysctl لهذا، واحداً للترشيح على أعضاء الجسر وآخر للترشيح على الجسر نفسه، ويجب أن يبقى واحد منهما على الأقل مفعّلاً. ينطبق الترشيح على مستوى الجسر على الحركة القادمة عبر أعضاء الجسر، فهو داخل الاتجاه وليس متماثلاً. اقرأ القواعد على الواجهة التي تُرشّح فعلاً، لأن قاعدة على عضو بلا دور ترشيح لا تفعل شيئاً على الإطلاق. إن وثائق ترشيح الجسر توضّح الملكية.

واجهة عضو بلا عنوان IP لا تملك ماكرو عنوان أو شبكة فرعية خاصاً بها، لذا قد تصف قاعدة مكتوبة على ذلك الماكرو شيئاً غير شبكة LAN التي تقصدها. استخدم كائنات شبكة مخصّصة بدلاً من ماكروات التسهيل.

الجزء ليس إطاراً

تحمل إطارات إيثرنت حزم IP، ويمكن أن تكون حزمة IP جزءاً من حزمة بيانات أكبر، لذا فالكلمتان غير قابلتين للتبادل. هناك أيضاً حزمة داخلية داخل النفق وحزمة نقل خارجية خارجه، وقد ينتمي الفشل إلى أي منهما. اختبار ping صغير يجرّب مساراً واحداً عبر ذلك المكدّس ولا يثبت شيئاً عن نقل كبير. قارن التبادل الفاشل عند حدّين متجاورين واقرأ سبب الإسقاط قبل لوم قاعدة.

إذا اختفت الأجزاء، فالجواب تصحيح محدود النطاق أو تحقيق في حجم الحزمة، لا قرار بتعطيل الترشيح كلياً.

الهايبرفايزر لديه قراره الخاص بالقبول

الضيف الذي يجسّر حركة لآلات أخرى يرسل إطارات ليست عناوين MAC مصدرها عنوان محوّله، وكثير من المبدّلات الافتراضية يعتبر ذلك انتحالاً ما لم تسمح به مجموعة المنافذ. السماح بذلك الإرسال والسماح للمحوّل باستقبال كل إطار تحكّمان منفصلان، وتمكينهما في كل مكان تغيير أكبر بكثير مما تتطلبه المشكلة. حدّد الإطارات التي يجب أن يستقبلها الجسر ويجب أن يرسلها، ثم امنح ذلك السلوك فقط عند الحد الذي يملكه. احتفظ بوصول الطرفية قبل تغيير جسر يُدار عن بُعد.

استعادة الاتصال نصف الاختبار؛ والنصف الآخر تأكيد أن التدفق الذي يجب أن يبقى محظوراً لا يزال محظوراً.

سجّل أي مالك فلتر، وأي تحكّم تغيّر، وأي تدفقين تحققت منهما. هذا السجل يمنع الحادثة التالية من البدء بالتخمين نفسه بأن pfSense يتجاهل نفسه.