Pont TAP rhithwir pfSense: tri man lle gall ffrâm farw

Rydych yn analluogi rheol ar y rhyngwyneb LAN, mae'r ffrâm yn diflannu o hyd, a'r casgliad yw bod pfSense yn anwybyddu ei wal dân ei hun. Yr hyn a ddigwyddodd fel arfer yw bod perchennog gwahanol wedi gwneud y penderfyniad: y bont ei hun, y rhyngwyneb aelod, neu'r switsh rhithwir y tu allan i'r gwestai. Mae gan bob un ei reolaeth ei hun a'i gofnod ei hun.

Mae'r tair ffin isod yn werth eu gwahanu cyn i chi newid gosodiad, oherwydd ni all analluogi un wneud iawn am y llall.

Un ffrâm, tri pherchennog polisi

Mae ffrâm o gleient TAP yn dod i mewn drwy'r ddyfais twnnel, yn croesi pont pfSense, yn gadael drwy aelod LAN, ac yna'n pasio switsh rhithwir cyn iddi gyrraedd unrhyw beth. Y tu mewn i'r gwestai, gall hidlo ddigwydd ar y bont neu ar y rhyngwynebau aelod, a dewis cyfluniad yw pa un sy'n weithredol, nid priodwedd sefydlog. Y tu allan i'r gwestai, mae'r hypervisor yn penderfynu a all yr addasydd rhithwir hwnnw drosglwyddo ffrâmau â MAC ffynhonnell nad yw'n berchen arno. Mae gollwng ar unrhyw un o'r pwyntiau hynny yn edrych yr un fath o safbwynt y cleient.

Ysgrifennwch y llwybr bwriadedig i lawr cyn ymchwilio: aelod twnnel, pont, aelod LAN, switsh rhithwir, cyrchfan. Wedyn gofynnwch pa berchennog ar y llwybr hwnnw fyddai wedi gweld y ffrâm.

Pa reolaeth pfSense sy'n hidlo

Mae pfSense yn dogfennu dau sysctl ar gyfer hyn, un ar gyfer hidlo ar aelodau'r bont ac un ar gyfer hidlo ar y bont ei hun, ac mae'n rhaid i o leiaf un ohonynt aros yn weithredol. Mae hidlo ar lefel pont yn berthnasol i draffig sy'n cyrraedd drwy aelodau'r bont, felly mae'n fewnol o ran cyfeiriad yn hytrach na chymesur. Darllenwch y rheolau ar y rhyngwyneb sy'n hidlo mewn gwirionedd, oherwydd nid yw rheol a osodwyd ar aelod heb rôl hidlo yn gwneud dim o gwbl. Mae'r ddogfennaeth hidlo pont yn egluro'r berchnogaeth.

Nid oes gan ryngwyneb aelod heb gyfeiriad IP unrhyw facro cyfeiriad na is-rwydwaith ei hun, felly gall rheol a ysgrifennwyd yn erbyn y macro hwnnw ddisgrifio rhywbeth arall na'r LAN a olygwyd gennych. Defnyddiwch wrthrychau rhwydwaith a neilltuwyd yn fwriadol yn lle macroau cyfleustra.

Nid yw darn yn ffrâm

Mae ffrâmau Ethernet yn cario pecynnau IP, a gall pecyn IP fod yn ddarn o ddatagram mwy, felly nid yw'r ddau air yn gyfnewidiol. Mae hefyd becyn mewnol y tu mewn i'r twnnel a phecyn cludo allanol y tu allan iddo, a gall methiant berthyn i'r naill neu'r llall. Mae ping bach yn ymarfer un llwybr drwy'r pentwr hwnnw ac yn profi dim am drosglwyddiad mawr. Cymharwch y cyfnewidiad sy'n methu ar ddwy ffin gyfagos a darllenwch y rheswm dros ollwng cyn beio rheol.

Os yw darnau'n diflannu, yr ateb yw cywiriad cyfyngedig neu ymchwiliad i faint pecyn, nid penderfyniad i analluogi hidlo'n llwyr.

Mae gan yr hypervisor ei benderfyniad derbyn ei hun

Mae gwestai sy'n pontio traffig i beiriannau eraill yn allyrru ffrâmau nad yw eu cyfeiriadau MAC ffynhonnell yn perthyn i'w addasydd ei hun, ac mae llawer o switshis rhithwir yn trin hynny fel ffugio oni bai bod y grŵp porth yn caniatáu hynny. Mae caniatáu'r trosglwyddiad hwnnw a chaniatáu i'r addasydd dderbyn pob ffrâm yn reolaethau ar wahân, ac mae galluogi'r ddau ym mhobman yn newid llawer mwy nag y mae'r broblem yn ei olygu. Diffiniwch pa ffrâmau y mae'n rhaid i'r bont eu derbyn ac y mae'n rhaid iddi eu hallgyrru, yna rhowch ddim ond yr ymddygiad hwnnw ar y ffin sy'n berchen arno. Cadwch fynediad i'r consol cyn newid pont a reolir o bell.

Mae adfer cysylltedd yn hanner y prawf; y hanner arall yw cadarnhau bod llif y dylai aros wedi'i rwystro yn dal i fod felly.

Cofnodwch pa berchennog a hidlodd, pa reolaeth a newidiwyd a pha ddau lif y gwnaethoch eu gwirio. Mae'r cofnod hwnnw'n atal y digwyddiad nesaf rhag dechrau gyda'r un dybiaeth bod pfSense yn anwybyddu ei hun.