Virtuaalinen pfSense TAP -silta: kolme paikkaa, joissa kehys voi kuolla
Silta, sen jäsenet ja virtuaalinen kytkin päättävät kukin erikseen. Selvitä, mikä omistaja suodatti, ennen kuin poistat käytöstä ohjauksen, joka ei ollut koskaan polulla.
Poistat säännön käytöstä LAN-liittymässä, kehys katoaa silti, ja johtopäätös on, että pfSense jättää oman palomuurinsa huomiotta. Yleensä on käynyt niin, että päätöksen teki toinen omistaja: silta itse, jäsenliittymä tai virtuaalinen kytkin vieraan ulkopuolella. Jokaisella on oma ohjauksensa ja oma lokinsa.
Alla olevat kolme rajaa kannattaa erottaa ennen asetuksen muuttamista, koska yhden poistaminen käytöstä ei voi korvata toista.
Yksi kehys, kolme käytännön omistajaa
TAP-asiakkaan kehys tulee sisään tunnelilaitteen kautta, ylittää pfSensen sillan, poistuu LAN-jäsenen kautta ja kulkee sitten virtuaalisen kytkimen läpi ennen kuin se saavuttaa mitään. Vieraan sisällä suodatus voi tapahtua sillalla tai jäsenliittymissä, ja se, kumpi on aktiivinen, on kokoonpanovalinta eikä kiinteä ominaisuus. Vieraan ulkopuolella hypervisori päättää, saako kyseinen virtuaalinen sovitin lähettää kehyksiä lähde-MAC-osoitteella, joka ei ole sen oma. Pudotus missä tahansa noista pisteistä näyttää asiakkaan puolelta samalta.
Kirjoita aiottu polku muistiin ennen tutkimista: tunnelijäsen, silta, LAN-jäsen, virtuaalinen kytkin, kohde. Kysy sitten, mikä omistaja tuolla polulla olisi nähnyt kehyksen.
Mikä pfSensen ohjaus suodattaa
pfSense dokumentoi tätä varten kaksi sysctl-asetusta, yhden sillan jäsenten suodatukseen ja yhden itse sillan suodatukseen, ja ainakin toisen niistä on pysyttävä käytössä. Sillan tasolla tehtävä suodatus koskee liikennettä, joka saapuu sillan jäsenten kautta, joten se on suunnaltaan saapuvaa, ei symmetristä. Lue säännöt liittymästä, joka todella suodattaa, koska jäsenelle ilman suodatusroolia tehty sääntö ei tee yhtään mitään. Sillan suodatuksen dokumentaatio selvittää omistajuuden.
Jäsenliittymällä ilman IP-osoitetta ei ole omaa osoite- tai aliverkkomakroa, joten sitä makroa vasten kirjoitettu sääntö voi kuvata jotain muuta kuin tarkoitettu LAN. Käytä tarkoituksella määritettyjä verkko-objekteja mukavuusmakrojen sijaan.
Fragmentti ei ole kehys
Ethernet-kehykset kuljettavat IP-paketteja, ja IP-paketti voi olla fragmentti suuremmasta datagrammista, joten nämä kaksi sanaa eivät ole keskenään vaihdettavia. Tunnelissa on myös sisäinen paketti ja sen ulkopuolella ulkoinen kuljetuspaketti, ja vika voi kuulua kummalle tahansa. Pieni pingi kokeilee yhtä polkua tuon pinon läpi eikä todista mitään suuresta siirrosta. Vertaa epäonnistuvaa vaihtoa kahdella vierekkäisellä rajalla ja lue pudotuksen syy ennen kuin syytät sääntöä.
Jos fragmentit katoavat, vastaus on rajattu korjaus tai pakettikoon tutkiminen, ei päätös poistaa suodatus kokonaan käytöstä.
Hypervisorilla on oma hyväksyntäpäätöksensä
Vieras, joka siltaa liikennettä muille koneille, lähettää kehyksiä, joiden lähde-MAC-osoitteet eivät ole sen oman sovittimen, ja monet virtuaaliset kytkimet pitävät sitä väärentämisenä, ellei porttiryhmä salli sitä. Sen lähetyksen salliminen ja sovittimen salliminen vastaanottaa jokainen kehys ovat erillisiä ohjauksia, ja molempien ottaminen käyttöön kaikkialla on paljon suurempi muutos kuin ongelma vaatii. Selvitä, mitkä kehykset sillan on vastaanotettava ja mitkä lähetettävä, ja myönnä sitten vain se käyttäytyminen sillä rajalla, joka siitä vastaa. Pidä konsolipääsy ennen etänä hallittavan sillan muuttamista.
Yhteyden palauttaminen on puolet testistä; toinen puoli on vahvistaa, että virtaus, jonka pitäisi pysyä estettynä, on edelleen estetty.
Kirjaa, mikä omistaja suodatti, mitä ohjausta muutettiin ja mitkä kaksi virtaa varmensit. Se kirjaus estää seuraavaa tapausta alkamasta samalla olettamalla, että pfSense jättää itsensä huomiotta.