Εικονική γέφυρα TAP του pfSense: τρία σημεία όπου ένα πλαίσιο μπορεί να χαθεί

Απενεργοποιείτε έναν κανόνα στη διεπαφή LAN, το πλαίσιο εξακολουθεί να εξαφανίζεται, και το συμπέρασμα είναι ότι το pfSense αγνοεί το δικό του firewall. Αυτό που συνήθως συνέβη είναι ότι αποφάσισε διαφορετικός ιδιοκτήτης: η ίδια η γέφυρα, η διεπαφή μέλους ή το εικονικό switch έξω από τον φιλοξενούμενο. Κάθε ένα έχει τον δικό του έλεγχο και το δικό του αρχείο καταγραφής.

Αξίζει να διαχωρίσετε τα τρία όρια παρακάτω πριν αλλάξετε μια ρύθμιση, γιατί η απενεργοποίηση του ενός δεν μπορεί να αναπληρώσει το άλλο.

Ένα πλαίσιο, τρεις ιδιοκτήτες πολιτικής

Ένα πλαίσιο από πελάτη TAP εισέρχεται μέσω της συσκευής σήραγγας, διασχίζει τη γέφυρα του pfSense, εξέρχεται μέσω μέλους LAN και στη συνέχεια περνά από ένα εικονικό switch πριν φτάσει οπουδήποτε. Μέσα στον φιλοξενούμενο, το φιλτράρισμα μπορεί να γίνει στη γέφυρα ή στις διεπαφές μελών, και το ποια είναι ενεργή είναι επιλογή διαμόρφωσης και όχι σταθερή ιδιότητα. Έξω από τον φιλοξενούμενο, ο hypervisor αποφασίζει αν αυτός ο εικονικός προσαρμογέας μπορεί να στέλνει πλαίσια με MAC προέλευσης που δεν του ανήκει. Μια απόρριψη σε οποιοδήποτε από αυτά τα σημεία φαίνεται ίδια από την πλευρά του πελάτη.

Γράψτε την προβλεπόμενη διαδρομή πριν ερευνήσετε: μέλος σήραγγας, γέφυρα, μέλος LAN, εικονικό switch, προορισμός. Έπειτα ρωτήστε ποιος ιδιοκτήτης σε αυτή τη διαδρομή θα είχε δει το πλαίσιο.

Ποιος έλεγχος του pfSense φιλτράρει

Το pfSense τεκμηριώνει δύο sysctl για αυτό, ένα για φιλτράρισμα στα μέλη της γέφυρας και ένα για φιλτράρισμα στην ίδια τη γέφυρα, και τουλάχιστον ένα από αυτά πρέπει να παραμείνει ενεργό. Το φιλτράρισμα σε επίπεδο γέφυρας αφορά την κίνηση που φτάνει μέσω των μελών της γέφυρας, άρα είναι εισερχόμενο ως προς την κατεύθυνση και όχι συμμετρικό. Διαβάστε τους κανόνες στη διεπαφή που πραγματικά φιλτράρει, γιατί ένας κανόνας σε μέλος χωρίς ρόλο φιλτραρίσματος δεν κάνει απολύτως τίποτα. Η τεκμηρίωση για το φιλτράρισμα γέφυρας εξηγεί την ιδιοκτησία.

Μια διεπαφή μέλους χωρίς διεύθυνση IP δεν έχει δική της μακροεντολή διεύθυνσης ή υποδικτύου, οπότε ένας κανόνας γραμμένος εναντίον αυτής της μακροεντολής μπορεί να περιγράφει κάτι διαφορετικό από το LAN που εννοούσατε. Χρησιμοποιήστε σκόπιμα εκχωρημένα αντικείμενα δικτύου αντί για μακροεντολές ευκολίας.

Ένα τμήμα δεν είναι πλαίσιο

Τα πλαίσια Ethernet μεταφέρουν πακέτα IP, και ένα πακέτο IP μπορεί να είναι τμήμα ενός μεγαλύτερου datagram, οπότε οι δύο λέξεις δεν είναι εναλλάξιμες. Υπάρχει επίσης ένα εσωτερικό πακέτο μέσα στη σήραγγα και ένα εξωτερικό πακέτο μεταφοράς έξω από αυτήν, και μια αποτυχία μπορεί να ανήκει σε οποιοδήποτε από τα δύο. Ένα μικρό ping δοκιμάζει μία διαδρομή μέσα από αυτή τη στοίβα και δεν αποδεικνύει τίποτα για μια μεγάλη μεταφορά. Συγκρίνετε την ανταλλαγή που αποτυγχάνει σε δύο γειτονικά όρια και διαβάστε τον λόγο απόρριψης πριν κατηγορήσετε έναν κανόνα.

Αν τα τμήματα εξαφανίζονται, η απάντηση είναι μια περιορισμένη διόρθωση ή έρευνα για το μέγεθος πακέτου, όχι απόφαση να απενεργοποιηθεί το φιλτράρισμα συνολικά.

Ο hypervisor έχει τη δική του απόφαση εισδοχής

Ένας φιλοξενούμενος που γεφυρώνει κίνηση για άλλες μηχανές εκπέμπει πλαίσια των οποίων οι διευθύνσεις MAC προέλευσης δεν είναι του δικού του προσαρμογέα, και πολλά εικονικά switch το θεωρούν πλαστοπροσωπία εκτός αν η ομάδα θυρών το επιτρέπει. Το να επιτρέψετε αυτή τη μετάδοση και το να επιτρέψετε στον προσαρμογέα να λαμβάνει κάθε πλαίσιο είναι ξεχωριστοί έλεγχοι, και η ενεργοποίηση και των δύο παντού είναι πολύ μεγαλύτερη αλλαγή από ό,τι απαιτεί το πρόβλημα. Προσδιορίστε ποια πλαίσια πρέπει να λαμβάνει και πρέπει να εκπέμπει η γέφυρα, και έπειτα παραχωρήστε μόνο αυτή τη συμπεριφορά στο όριο που την κατέχει. Κρατήστε πρόσβαση κονσόλας πριν αλλάξετε μια γέφυρα που διαχειρίζεται απομακρυσμένα.

Η αποκατάσταση της συνδεσιμότητας είναι το μισό της δοκιμής· το άλλο μισό είναι να επιβεβαιώσετε ότι μια ροή που πρέπει να μείνει αποκλεισμένη παραμένει τέτοια.

Καταγράψτε ποιος ιδιοκτήτης φίλτραρε, ποιος έλεγχος άλλαξε και ποιες δύο ροές επαληθεύσατε. Αυτή η καταγραφή εμποδίζει το επόμενο περιστατικό να ξεκινήσει με την ίδια υπόθεση ότι το pfSense αγνοεί τον εαυτό του.