Virtuaalne pfSense TAP-sild: kolm kohta, kus kaader võib surra

Lülitate LAN-liidesel reegli välja, kaader kaob endiselt, ja järeldus on, et pfSense eirab omaenda tulemüüri. Tavaliselt juhtus see, et otsuse tegi teine omanik: sild ise, liikmeliides või virtuaalne lüliti väljaspool külalist. Igaühel on oma juhtimine ja oma logi.

Allpool olevad kolm piiri tasub enne seade muutmist eristada, sest ühe väljalülitamine ei kompenseeri teist.

Üks kaader, kolm poliitikaomanikku

TAP-kliendi kaader siseneb tunneliseadme kaudu, läbib pfSense'i silla, väljub LAN-liikme kaudu ja läbib seejärel virtuaalse lüliti enne, kui jõuab kuhugi. Külalise sees võib filtreerimine toimuda sillal või liikmeliidestel, ja see, milline on aktiivne, on konfiguratsiooni valik, mitte püsiv omadus. Väljaspool külalist otsustab hüperviisor, kas see virtuaalne adapter tohib saata kaadreid allika-MAC-iga, mis talle ei kuulu. Langemine ükskõik millises neist punktidest näeb kliendi poolelt välja ühesugune.

Kirjutage kavatsetud tee enne uurimist üles: tunneliliige, sild, LAN-liige, virtuaalne lüliti, sihtkoht. Seejärel küsige, milline omanik sellel teel oleks kaadrit näinud.

Milline pfSense'i juhtimine filtreerib

pfSense dokumenteerib selleks kaks sysctl-i, ühe filtreerimiseks silla liikmetel ja teise filtreerimiseks sillal endal, ja vähemalt üks neist peab jääma sisse lülitatuks. Silla tasandi filtreerimine kehtib liiklusele, mis saabub silla liikmete kaudu, seega on see suunalt sissetulev, mitte sümmeetriline. Lugege reegleid liidesel, mis tegelikult filtreerib, sest liikmele ilma filtreerimisrollita seatud reegel ei tee üldse midagi. Silla filtreerimise dokumentatsioon selgitab omandit.

IP-aadressita liikmeliidesel pole oma aadressi- ega alamvõrgu-makrot, seega võib selle makro vastu kirjutatud reegel kirjeldada midagi muud kui mõeldud LAN-i. Kasutage mugavusmakrode asemel teadlikult määratud võrguobjekte.

Fragment ei ole kaader

Etherneti kaadrid kannavad IP-pakette ja IP-pakett võib olla suurema datagrammi fragment, seega need kaks sõna ei ole vahetatavad. Tunneli sees on ka sisemine pakett ja sellest väljas välimine transpordipakett, ning rike võib kuuluda kummale tahes. Väike ping proovib üht teed läbi selle virna ega tõesta suure ülekande kohta midagi. Võrrelge ebaõnnestunud vahetust kahel kõrvuti asetseval piiril ja lugege langemise põhjust enne, kui süüdistate reeglit.

Kui fragmendid kaovad, on vastus piiratud parandus või paketi suuruse uurimine, mitte otsus filtreerimine täielikult välja lülitada.

Hüperviisoril on oma lubamise otsus

Külaline, kes sildab liiklust teistele masinatele, saadab kaadreid, mille allika-MAC-aadressid ei kuulu tema enda adapterile, ja paljud virtuaalsed lülitid käsitlevad seda võltsimisena, kui pordigrupp seda ei luba. Selle edastuse lubamine ja adapterile iga kaadri vastuvõtmise lubamine on eraldi juhtimised, ja mõlema kõikjal sisselülitamine on palju suurem muudatus, kui probleem nõuab. Tehke kindlaks, milliseid kaadreid sild peab vastu võtma ja saatma, seejärel andke ainult see käitumine sellel piiril, millele see kuulub. Hoidke konsoolile juurdepääs enne kaugjuhitava silla muutmist.

Ühenduvuse taastamine on pool testist; teine pool on kinnitada, et voog, mis peaks jääma blokeerituks, on endiselt blokeeritud.

Märkige üles, milline omanik filtreeris, millist juhtimist muudeti ja milliseid kahte voogu te kontrollisite. See märge takistab järgmisel juhtumil algamast sama oletusega, et pfSense eirab iseennast.