વર્ચ્યુઅલ pfSense TAP બ્રિજ: ત્રણ જગ્યાઓ જ્યાં ફ્રેમ મરી શકે છે

તમે LAN ઇન્ટરફેસ પર નિયમ નિષ્ક્રિય કરો છો, ફ્રેમ તો પણ અદૃશ્ય થાય છે, અને નિષ્કર્ષ એ છે કે pfSense પોતાના ફાયરવૉલને અવગણે છે. સામાન્ય રીતે જે બન્યું તે એ છે કે બીજા માલિકે નિર્ણય લીધો: બ્રિજ પોતે, સભ્ય ઇન્ટરફેસ, અથવા ગેસ્ટની બહારનું વર્ચ્યુઅલ સ્વિચ. દરેકનું પોતાનું નિયંત્રણ અને પોતાનું લોગ છે.

નીચેની ત્રણ સીમાઓ સેટિંગ બદલતા પહેલા અલગ કરવા યોગ્ય છે, કારણ કે એક નિષ્ક્રિય કરવાથી બીજાની ભરપાઈ થઈ શકે નહીં.

એક ફ્રેમ, ત્રણ નીતિ-માલિક

TAP ક્લાયન્ટની ફ્રેમ ટનલ ઉપકરણમાંથી પ્રવેશે છે, pfSense બ્રિજ પાર કરે છે, LAN સભ્યમાંથી નીકળે છે, અને પછી કંઈપણ સુધી પહોંચતા પહેલા વર્ચ્યુઅલ સ્વિચમાંથી પસાર થાય છે. ગેસ્ટની અંદર ફિલ્ટરિંગ બ્રિજ પર અથવા સભ્ય ઇન્ટરફેસ પર થઈ શકે છે, અને કયું સક્રિય છે તે સ્થિર ગુણધર્મ નહીં પણ કન્ફિગરેશનની પસંદગી છે. ગેસ્ટની બહાર હાઇપરવાઇઝર નક્કી કરે છે કે તે વર્ચ્યુઅલ અડેપ્ટર પોતાનું ન હોય તેવા સ્રોત MAC સાથે ફ્રેમ મોકલી શકે છે કે નહીં. તેમાંથી કોઈપણ બિંદુએ ડ્રોપ ક્લાયન્ટની બાજુથી એકસમાન દેખાય છે.

તપાસ કરતા પહેલા ઇચ્છિત પાથ લખો: ટનલ સભ્ય, બ્રિજ, LAN સભ્ય, વર્ચ્યુઅલ સ્વિચ, ગંતવ્ય. પછી પૂછો કે તે પાથ પર કયો માલિક ફ્રેમ જોઈ શક્યો હોત.

કયું pfSense નિયંત્રણ ફિલ્ટર કરે છે

pfSense આ માટે બે sysctl દસ્તાવેજ કરે છે, એક બ્રિજ સભ્યો પર ફિલ્ટરિંગ માટે અને એક બ્રિજ પર જ ફિલ્ટરિંગ માટે, અને તેમાંથી ઓછામાં ઓછું એક સક્રિય રહેવું જોઈએ. બ્રિજ સ્તરનું ફિલ્ટરિંગ બ્રિજ સભ્યોમાંથી આવતા ટ્રાફિક પર લાગુ પડે છે, તેથી તે દિશાની દૃષ્ટિએ આવકાર છે, સમપ્રમાણ નહીં. જે ઇન્ટરફેસ ખરેખર ફિલ્ટર કરે છે તેના પર નિયમો વાંચો, કારણ કે ફિલ્ટર ભૂમિકા વગરના સભ્ય પર લખાયેલો નિયમ કંઈ જ કરતો નથી. બ્રિજ ફિલ્ટરિંગનું દસ્તાવેજીકરણ માલિકી સ્પષ્ટ કરે છે.

IP સરનામું વગરના સભ્ય ઇન્ટરફેસ પાસે પોતાનું સરનામું કે સબનેટ મેક્રો હોતું નથી, તેથી તે મેક્રો સામે લખાયેલો નિયમ તમે ધારેલા LAN સિવાય બીજું કંઈક વર્ણવી શકે છે. સુવિધાના મેક્રોને બદલે ઇરાદાપૂર્વક સોંપાયેલા નેટવર્ક ઑબ્જેક્ટ વાપરો.

ફ્રેગમેન્ટ ફ્રેમ નથી

ઇથરનેટ ફ્રેમ IP પેકેટ વહન કરે છે, અને IP પેકેટ મોટા ડેટાગ્રામનું ફ્રેગમેન્ટ હોઈ શકે છે, તેથી બંને શબ્દો અદલાબદલી શકાય તેવા નથી. ટનલની અંદર આંતરિક પેકેટ અને તેની બહાર બાહ્ય પરિવહન પેકેટ પણ હોય છે, અને નિષ્ફળતા બંનેમાંથી કોઈપણની હોઈ શકે છે. નાનું ping તે સ્ટેકમાંથી એક પાથ ચકાસે છે અને મોટા ટ્રાન્સફર વિશે કંઈ સાબિત કરતું નથી. બે અડીને સીમાઓ પર નિષ્ફળ વિનિમયની સરખામણી કરો અને નિયમને દોષ આપતા પહેલા ડ્રોપનું કારણ વાંચો.

ફ્રેગમેન્ટ અદૃશ્ય થાય તો જવાબ મર્યાદિત સુધારો અથવા પેકેટ કદની તપાસ છે, ફિલ્ટરિંગ સંપૂર્ણપણે નિષ્ક્રિય કરવાનો નિર્ણય નહીં.

હાઇપરવાઇઝરનો પોતાનો પ્રવેશ-નિર્ણય છે

બીજા મશીનો માટે ટ્રાફિક બ્રિજ કરતો ગેસ્ટ એવી ફ્રેમ ઉત્સર્જિત કરે છે જેના સ્રોત MAC સરનામાં તેના પોતાના અડેપ્ટરના નથી, અને ઘણા વર્ચ્યુઅલ સ્વિચ પોર્ટ જૂથ પરવાનગી ન આપે તો તેને સ્પૂફિંગ ગણે છે. તે ટ્રાન્સમિશનની પરવાનગી અને અડેપ્ટરને દરેક ફ્રેમ મેળવવાની પરવાનગી અલગ નિયંત્રણો છે, અને બંનેને દરેક જગ્યાએ સક્રિય કરવું સમસ્યાની જરૂરિયાત કરતાં ઘણું મોટું પરિવર્તન છે. બ્રિજે કઈ ફ્રેમ મેળવવી જોઈએ અને કઈ ઉત્સર્જિત કરવી જોઈએ તે નક્કી કરો, પછી ફક્ત તે વર્તન તેની માલિકી ધરાવતી સીમા પર આપો. દૂરથી સંચાલિત બ્રિજ બદલતા પહેલા કન્સોલ ઍક્સેસ રાખો.

કનેક્ટિવિટી પુનઃસ્થાપિત કરવી પરીક્ષણનો અડધો ભાગ છે; બીજો અડધો ભાગ એ પુષ્ટિ કરવી છે કે અવરોધિત રહેવો જોઈએ તેવો પ્રવાહ હજુ પણ અવરોધિત છે.

કયા માલિકે ફિલ્ટર કર્યું, કયું નિયંત્રણ બદલાયું અને કયા બે પ્રવાહ તમે ચકાસ્યા તે નોંધો. તે નોંધ આગામી ઘટનાને pfSense પોતાને અવગણે છે એવી જ ધારણાથી શરૂ થતી અટકાવે છે.