Firtuele pfSense TAP-brêge: trije plakken dêr't in frame stjerre kin
De brêge, syn leden en de firtuele skeakel beslisse elk apart. Fyn út hokker eigner filtere hat foardat jo in kontrôle útskeakelje dy't nea yn it paad wie.
Jo skeakelje in regel op 'e LAN-ynterface út, it frame ferdwynt dochs, en de konklúzje is dat pfSense syn eigen firewall negearret. Wat meastentiids bard is, is dat in oare eigner it beslút naam hat: de brêge sels, de lid-ynterface of de firtuele skeakel bûten de gast. Elk hat syn eigen kontrôle en syn eigen loch.
De trije grinzen hjirûnder binne it wurdich te skieden foardat jo in ynstelling feroarje, want ien útskeakelje kin in oare net kompensearje.
Ien frame, trije beliedseigners
In frame fan in TAP-klant komt yn troch it tunnelapparaat, stekt de pfSense-brêge oer, giet út troch in LAN-lid en giet dan troch in firtuele skeakel foardat it eat berikt. Binnen de gast kin filterjen op 'e brêge of op 'e lid-ynterfaces barre, en hokker ien aktyf is, is in kar by de konfiguraasje rather as in fêste eigenskip. Bûten de gast beslút de hypervisor oft dy firtuele adapter frames stjoere mei in boarne-MAC dy't net fan himsels is. In fal op ien fan dy punten liket identyk fan 'e klantkant.
Skriuw it bedoelde paad del foardat jo ûndersykje: tunnellid, brêge, LAN-lid, firtuele skeakel, bestimming. Freegje dan hokker eigner op dat paad it frame sjoen hawwe soe.
Hokker pfSense-kontrôle filteret
pfSense dokumintearret twa sysctls hjirfoar, ien foar filterjen op 'e brêgeleden en ien foar filterjen op 'e brêge sels, en teminsten ien fan beide moat aktyf bliuwe. Filterjen op brêgenivo jildt foar ferkear dat troch de brêgeleden oankomt, dus it is yngeand fan oriïntaasje, net symmetrysk. Lês de regels op 'e ynterface dy't echt filteret, want in regel op in lid sûnder filterrol docht hielendal neat. De dokumintaasje oer brêgefilterjen ferklearret it eignerskip.
In lid-ynterface sûnder IP-adres hat gjin adres- of subnetmakro fan himsels, dus in regel tsjin dat makro kin eat oars beskriuwe as de LAN dy't jo bedoelden. Brûk bewust tawiisde netwurkobjekten yn stee fan gemaksmakro's.
In fragmint is gjin frame
Ethernet-frames drage IP-pakketten, en in IP-pakket kin in fragmint fan in grutter datagram wêze, dus de twa wurden binne net útwikselber. Der is ek in binnenpakket binnen de tunnel en in bûtenste ferfierpakkette dêrby, en in flater kin by beide hearre. In lytse ping beproevet ien paad troch dy steapel en bewiist neat oer in grutte oerdracht. Fergelykje de mislearjende útwikseling by twa oanbuorjende grinzen en lês de falreden foardat jo in regel de skuld jouwe.
As fragminten ferdwine, is it antwurd in beheinde korreksje of in ûndersyk nei pakketgrutte, net in beslút om filterjen folslein út te skeakeljen.
De hypervisor hat syn eigen talittingsbeslút
In gast dy't ferkear foar oare masines oerbrugget, stjoert frames út wêrfan't de boarne-MAC-adressen net fan syn eigen adapter binne, en in protte firtuele skeakels sjogge dat as spoofing, útsein as de poartegroep it talit. It talitten fan dy oerdracht en it talitten fan 'e adapter om elk frame te ûntfangen binne aparte kontrôles, en beide oeral oansette is in folle gruttere feroaring as it probleem freget. Bepaal hokker frames de brêge ûntfange moat en stjoere moat, en jou dan allinnich dat gedrach op 'e grins dy't it besit. Hâld konseltoegong foardat jo in brêge feroarje dy't op ôfstân beheard wurdt.
Ferbinings weromkrije is de helte fan 'e test; de oare helte is befêstigje dat in stream dy't blokkearre bliuwe moat dat noch is.
Skriuw op hokker eigner filtere hat, hokker kontrôle feroare is en hokker twa streamen jo ferifiearre hawwe. Dat ferslach keart tsjin dat it folgjende ynsidint begjint mei deselde oanname dat pfSense himsels negearret.