גשר TAP וירטואלי ב-pfSense: שלושה מקומות שבהם מסגרת יכולה למות
הגשר, החברים שלו והמתג הווירטואלי מחליטים כל אחד בנפרד. גלו איזה בעלים סינן לפני שמכבים בקרה שמעולם לא הייתה במסלול.
אתם מכבים כלל בממשק ה-LAN, המסגרת עדיין נעלמת, והמסקנה היא ש-pfSense מתעלם מחומת האש של עצמו. מה שבדרך כלל קרה הוא שבעלים אחר קיבל את ההחלטה: הגשר עצמו, ממשק החבר, או המתג הווירטואלי מחוץ לאורח. לכל אחד יש בקרה משלו ויומן משלו.
שלושת הגבולות שלמטה ראויים להפרדה לפני שמשנים הגדרה, כי כיבוי של אחד אינו מפצה על האחר.
מסגרת אחת, שלושה בעלי מדיניות
מסגרת מלקוח TAP נכנסת דרך התקן המנהרה, חוצה את גשר pfSense, יוצאת דרך חבר LAN, ואז עוברת במתג וירטואלי לפני שהיא מגיעה למשהו. בתוך האורח, הסינון יכול להתרחש בגשר או בממשקי החברים, ומי מהם פעיל הוא בחירת תצורה ולא תכונה קבועה. מחוץ לאורח, ההיפרביזור מחליט אם המתאם הווירטואלי הזה רשאי לשדר מסגרות עם MAC מקור שאינו שלו. נפילה בכל אחת מהנקודות האלה נראית זהה מצד הלקוח.
רשמו את המסלול המיועד לפני החקירה: חבר מנהרה, גשר, חבר LAN, מתג וירטואלי, יעד. ואז שאלו איזה בעלים במסלול הזה היה רואה את המסגרת.
איזו בקרה של pfSense מסננת
pfSense מתעד שני sysctl לשם כך, אחד לסינון בחברי הגשר ואחד לסינון בגשר עצמו, ולפחות אחד מהם חייב להישאר פעיל. סינון ברמת הגשר חל על תעבורה שמגיעה דרך חברי הגשר, ולכן הוא נכנס בכיווניות ולא סימטרי. קראו את הכללים בממשק שבאמת מסנן, כי כלל שמוגדר על חבר בלי תפקיד סינון לא עושה דבר. התיעוד של סינון גשר מפרט את הבעלות.
ממשק חבר בלי כתובת IP אינו בעל מאקרו כתובת או תת-רשת משל עצמו, ולכן כלל שנכתב נגד המאקרו הזה יכול לתאר משהו אחר מה-LAN שהתכוונתם אליו. השתמשו באובייקטי רשת שהוקצו במכוון במקום במאקרו נוחות.
קטע אינו מסגרת
מסגרות Ethernet נושאות מנות IP, ומנת IP יכולה להיות קטע של דאטגרם גדול יותר, ולכן שתי המילים אינן ניתנות להחלפה. יש גם מנה פנימית בתוך המנהרה ומנת תעבורה חיצונית מחוצה לה, וכשל יכול להשתייך לכל אחת מהן. פינג קטן מתרגל מסלול אחד דרך המחסנית הזו ואינו מוכיח דבר על העברה גדולה. השוו את החליפין הכושל בשני גבולות סמוכים וקראו את סיבת הנפילה לפני שאתם מאשימים כלל.
אם הקטעים נעלמים, התשובה היא תיקון מוגבל או חקירה של גודל המנה, ולא החלטה לכבות את הסינון לגמרי.
להיפרביזור יש החלטת קבלה משלו
אורח שגשר תעבורה עבור מכונות אחרות פולט מסגרות שכתובות ה-MAC מקור שלהן אינן של המתאם שלו עצמו, ומתגים וירטואליים רבים מתייחסים לכך כאל זיוף אלא אם קבוצת הפורטים מאפשרת זאת. להרשות את השידור הזה ולהרשות למתאם לקבל כל מסגרת הם שני בקרות נפרדים, והפעלת שניהם בכל מקום היא שינוי גדול בהרבה ממה שהבעיה דורשת. קבעו אילו מסגרות הגשר חייב לקבל וחייב לשדר, ואז העניקו רק את ההתנהגות הזו בגבול שזה שייך לו. שמרו על גישה למסוף לפני שינוי גשר שמנוהל מרחוק.
החזרת הקישוריות היא חצי מהמבחן; החצי השני הוא לאשר שזרימה שאמורה להישאר חסומה עדיין חסומה.
תעדו איזה בעלים סינן, איזו בקרה שונתה ואילו שתי זרימות בדקתם. התיעוד הזה מונע מהאירוע הבא להתחיל באותה הנחה ש-pfSense מתעלם מעצמו.