pfSense TAP zubi birtuala: marko bat hil daitekeen hiru leku

LAN interfazean arau bat desaktibatzen duzu, markoa oraindik desagertzen da, eta ondorioa da pfSensek bere suebakia bera ere alde batera uzten duela. Normalean gertatu dena da beste jabe batek hartu zuela erabakia: zubiak berak, kide interfazeak edo gonbidatuaren kanpoko etengailu birtualak. Bakoitzak bere kontrola eta bere erregistroa ditu.

Beheko hiru mugak bereizi behar dira ezarpen bat aldatu aurretik, zeren bat desaktibatzeak ezin baitu bestea konpentsatu.

Marko bat, hiru politika-jabe

TAP bezero baten markoa tunel gailutik sartzen da, pfSense zubia zeharkatzen du, LAN kide batetik ateratzen da eta gero etengailu birtual bat pasatzen du ezer lortu aurretik. Gonbidatuaren barruan, iragazketa zubian edo kide interfazeetan gerta daiteke, eta zein den aktibo konfigurazioaren hautua da, ez propietate finkoa. Gonbidatuaren kanpoan, hiperbisoreak erabakitzen du adaptagailu birtual horrek berak ez duen jatorrizko MAC batekin markoak igor ditzakeen. Puntu horietako edozeinetan galtzeak berdin ikusten da bezeroaren aldetik.

Idatzi nahi den bidea ikertu aurretik: tunel kidea, zubia, LAN kidea, etengailu birtuala, helmuga. Gero galdetu bide horretan zein jabe ikusiko zukeen markoa.

Zein pfSense kontrol ari da iragazten

pfSensek bi sysctl dokumentatzen ditu horretarako, bat zubi kideetan iragazteko eta bestea zubian bertan iragazteko, eta horietako bat gutxienez piztuta egon behar da. Zubi mailako iragazketa zubi kideen bidez iristen den trafikoari aplikatzen zaio, beraz, sarrera da orientazioz, ez simetrikoa. Irakurri arauak benetan iragazten duen interfazean, zeren iragazte-rolik gabeko kide batean jarritako arauak ez baitu ezer egiten. Zubi iragazketaren dokumentazioak jabetza azaltzen du.

IP helbiderik gabeko kide interfazeak ez du bere helbide edo azpisare makrorik, beraz, makro horren aurka idatzitako arauak zuk nahi zenuen LAN ez den zerbait deskriba dezake. Erabili berariaz esleitutako sare objektuak erosotasun makroen ordez.

Fragmentua ez da markoa

Ethernet markoek IP paketeak daramatzate, eta IP paketea datagrama handiago baten fragmentua izan daiteke, beraz bi hitzak ez dira trukagarriak. Tunelaren barruan barne pakete bat dago eta kanpoan kanpoko garraio pakete bat, eta huts egitea edozeini egoki dakioke. Ping txiki batek pila horretako bide bat probatzen du eta ez du ezer frogatzen transferentzia handi bati buruz. Konparatu huts egiten duen elkartrukea ondoko bi mugetan eta irakurri galtzearen arrazoia araua errudun egin aurretik.

Fragmentuak desagertzen badira, erantzuna zuzenketa mugatua edo pakete tamainaren ikerketa da, ez iragazketa guztiz desaktibatzea erabakitzea.

Hiperbisoreak bere onarpen erabakia du

Beste makina batzuentzat trafikoa zubikatzen duen gonbidatuak bere adaptagailuarenak ez diren jatorrizko MAC helbideko markoak igortzen ditu, eta etengailu birtual askok faltsutze gisa hartzen dute portu taldeak baimendu ezean. Igorpen hori baimendu eta adaptagailuari marko bakoitza jasotzeko baimena ematea kontrol bereiziak dira, eta biak nonahi piztea arazoak eskatzen duena baino askoz aldaketa handiagoa da. Zehaztu zein marko jaso eta zein igorri behar dituen zubiak, eta gero eman portaera hori baino ez, jabea den mugan. Mantendu kontsola sarbidea urrunetik kudeatutako zubia aldatu aurretik.

Konektibitatea berreskuratzea probaren erdia da; beste erdia blokeatuta egon behar duen fluxu bat oraindik blokeatuta dagoela baieztatzea da.

Erregistratu zein jabek iragazi zuen, zein kontrol aldatu zen eta zein bi fluxu egiaztatu dituzun. Erregistro horrek hurrengo gorabehera pfSense bere burua baztertzen ari dela dioen uste berarekin hasteko saihesten du.