Virtuális pfSense TAP-híd: három hely, ahol egy keret meghalhat
A híd, a tagjai és a virtuális kapcsoló külön-külön döntenek. Derítse ki, melyik tulajdonos szűrt, mielőtt kikapcsol egy olyan vezérlést, amely soha nem volt az útvonalon.
Kikapcsol egy szabályt a LAN-interfészen, a keret mégis eltűnik, és a következtetés az, hogy a pfSense figyelmen kívül hagyja a saját tűzfalát. Általában az történt, hogy egy másik tulajdonos hozta meg a döntést: maga a híd, a taginterfész vagy a vendégen kívüli virtuális kapcsoló. Mindegyiknek saját vezérlése és saját naplója van.
Az alábbi három határt érdemes szétválasztani, mielőtt bármely beállítást megváltoztat, mert az egyik kikapcsolása nem pótolja a másikat.
Egy keret, három szabálytulajdonos
A TAP-kliens kerete az alagút-eszközön keresztül lép be, áthalad a pfSense hídon, kilép egy LAN-tagon, majd egy virtuális kapcsolón halad át, mielőtt bármit elérne. A vendégen belül a szűrés a hídon vagy a taginterfészeken történhet, és hogy melyik aktív, konfigurációs választás, nem pedig rögzített tulajdonság. A vendégen kívül a hipervizor dönti el, hogy az a virtuális adapter küldhet-e olyan forrás-MAC-című kereteket, amely nem a sajátja. Az ejtés bármelyik ilyen ponton azonosnak látszik az ügyfél felől.
A vizsgálat előtt írja le a szándékolt útvonalat: alagúttag, híd, LAN-tag, virtuális kapcsoló, cél. Aztán kérdezze meg, melyik tulajdonos látta volna a keretet azon az útvonalon.
Melyik pfSense-vezérlés szűr
A pfSense két sysctl-t dokumentál erre, egyet a hídtagokon történő szűréshez és egyet magán a hídon történő szűréshez, és legalább az egyiknek bekapcsolva kell maradnia. A híd szintű szűrés a hídtagokon keresztül érkező forgalomra vonatkozik, tehát irányultságát tekintve bejövő, nem szimmetrikus. A szabályokat azon az interfészen olvassa, amely valóban szűr, mert a szűrő szerep nélküli tagon beállított szabály semmit sem tesz. A hídszűrés dokumentációja kifejti a tulajdonjogot.
Az IP-cím nélküli taginterfésznek nincs saját cím- vagy alhálózati makrója, ezért az ellene írt szabály mást írhat le, mint a szándékolt LAN. Használjon szándékosan hozzárendelt hálózati objektumokat a kényelmi makrók helyett.
A töredék nem keret
Az Ethernet-keretek IP-csomagokat szállítanak, és egy IP-csomag lehet egy nagyobb datagram töredéke, ezért a két szó nem fölcserélhető. Az alagúton belül van egy belső csomag, azon kívül pedig egy külső szállítási csomag, és a hiba bármelyikhez tartozhat. Egy kis ping egyetlen útvonalat gyakorol ezen a vermen át, és semmit sem bizonyít egy nagy átvitelről. Hasonlítsa össze a sikertelen cserét két szomszédos határon, és olvassa el az ejtés okát, mielőtt egy szabályt hibáztat.
Ha a töredékek eltűnnek, a válasz körülhatárolt javítás vagy a csomagméret vizsgálata, nem pedig a szűrés teljes kikapcsolása.
A hipervizornak saját beengedési döntése van
A más gépek forgalmát hídként továbbító vendég olyan kereteket bocsát ki, amelyek forrás-MAC-címe nem a saját adapteréé, és sok virtuális kapcsoló ezt hamisításnak tekinti, hacsak a portcsoport nem engedi meg. Az átvitel engedélyezése és az adapter minden keret fogadásának engedélyezése külön vezérlések, és mindkettőt mindenhol bekapcsolni sokkal nagyobb változás, mint amit a probléma megkíván. Határozza meg, mely kereteket kell a hídnak fogadnia és küldenie, majd csak ezt a viselkedést engedje meg azon a határon, amelyik ehhez tartozik. Tartsa meg a konzolhozzáférést, mielőtt távolról kezelt hidat módosít.
A kapcsolat helyreállítása a teszt fele; a másik fele annak megerősítése, hogy egy blokkolt maradó folyam továbbra is blokkolt.
Jegyezze fel, melyik tulajdonos szűrt, melyik vezérlés változott és melyik két folyamatot ellenőrizte. Ez a feljegyzés megakadályozza, hogy a következő esemény ugyanazzal a feltevéssel kezdődjön, hogy a pfSense figyelmen kívül hagyja önmagát.