Վիրտուալ pfSense TAP կամուրջ. երեք տեղ, որտեղ կադրը կարող է մահանալ
Կամուրջը, նրա անդամները և վիրտուալ անջատիչը որոշում են յուրաքանչյուրն առանձին։ Պարզեք, թե որ սեփականատերն է զտել, նախքան անջատելը կառավարում, որը երբեք ուղու վրա չի եղել։
Դուք անջատում եք կանոն LAN ինտերֆեյսում, կադրը դեռ անհետանում է, և եզրակացությունը այն է, որ pfSense անտեսում է իր սեփական firewall-ը։ Սովորաբար պատահել է այն, որ որոշումը կայացրել է մեկ այլ սեփականատեր՝ կամուրջը ինքը, անդամ ինտերֆեյսը կամ հյուրից դուրս գտնվող վիրտուալ անջատիչը։ Յուրաքանչյուրն ունի իր կառավարումը և իր մատյանը։
Ստորև բերված երեք սահմանները արժե առանձնացնել նախքան որևէ կարգավորում փոխելը, քանի որ մեկի անջատումը չի կարող փոխհատուցել մյուսին։
Մեկ կադր, երեք քաղաքականության սեփականատեր
TAP հաճախորդի կադրը մտնում է թունելի սարքով, անցնում pfSense կամուրջը, դուրս է գալիս LAN անդամով և հետո անցնում վիրտուալ անջատիչով, նախքան որևէ բանի հասնելը։ Հյուրի ներսում զտումը կարող է տեղի ունենալ կամրջի վրա կամ անդամ ինտերֆեյսներում, և թե որն է ակտիվ, կարգավորման ընտրություն է, ոչ թե հաստատուն հատկություն։ Հյուրից դուրս հիպերվիզորը որոշում է, թե արդյոք այդ վիրտուալ ադապտերը կարող է ուղարկել կադրեր աղբյուր MAC-ով, որը իրենը չէ։ Այդ կետերից որևէ մեկում կորուստը հաճախորդի կողմից նույնն է երևում։
Նախքան հետաքննությունը գրի առեք նախատեսված ուղին՝ թունելի անդամ, կամուրջ, LAN անդամ, վիրտուալ անջատիչ, նպատակակետ։ Ապա հարցրեք, թե այդ ուղու որ սեփականատերը կտեսներ կադրը։
Որ pfSense կառավարումն է զտում
pfSense-ը դրա համար փաստագրում է երկու sysctl՝ մեկը կամրջի անդամների վրա զտելու և մեկը հենց կամրջի վրա զտելու համար, և դրանցից գոնե մեկը պետք է մնա միացված։ Կամրջի մակարդակի զտումը վերաբերում է կամրջի անդամներով եկող երթևեկությանը, ուստի այն ուղղվածությամբ մուտքային է, ոչ սիմետրիկ։ Կարդացեք կանոնները այն ինտերֆեյսում, որն իրականում զտում է, քանի որ զտման դեր չունեցող անդամի վրա դրված կանոնը բացարձակապես ոչինչ չի անում։ Կամրջի զտման փաստաթղթերը բացատրում են սեփականությունը։
Առանց IP հասցեի անդամ ինտերֆեյսը չունի իր սեփական հասցեի կամ ենթացանցի մակրո, ուստի այդ մակրոյի դեմ գրված կանոնը կարող է նկարագրել մեկ այլ բան, քան նախատեսված LAN-ը։ Օգտագործեք դիտավորյալ նշանակված ցանցային օբյեկտներ՝ հարմարության մակրոների փոխարեն։
Բեկորուքը կադր չէ
Ethernet կադրերը կրում են IP փաթեթներ, և IP փաթեթը կարող է լինել ավելի մեծ դատագրամի բեկորուք, ուստի այդ երկու բառերը փոխարինելի չեն։ Թունելի ներսում կա նաև ներքին փաթեթ, իսկ դրսում՝ արտաքին տրանսպորտային փաթեթ, և խափանումը կարող է պատկանել երկուսից որևէ մեկին։ Փոքր ping-ը փորձարկում է այդ կույտով անցնող մեկ ուղի և ոչինչ չի ապացուցում մեծ փոխանցման մասին։ Համեմատեք ձախողված փոխանակումը երկու հարակից սահմաններում և կարդացեք կորստի պատճառը նախքան կանոնին մեղադրելը։
Եթե բեկորուքները անհետանում են, պատասխանը սահմանափակ ուղղում է կամ փաթեթի չափի հետաքննություն, ոչ թե զտումն ամբողջությամբ անջատելու որոշում։
Հիպերվիզորն ունի իր ընդունման որոշումը
Այլ մեքենաների համար երթևեկությունը կամրջող հյուրը թողարկում է կադրեր, որոնց աղբյուր MAC հասցեները իր ադապտերինը չեն, և շատ վիրտուալ անջատիչներ դա համարում են կեղծում, եթե պորտային խումբը թույլ չի տալիս։ Այդ փոխանցումը թույլատրելը և ադապտերին ամեն կադր ստանալու թույլտվությունը առանձին կառավարումներ են, և երկուսն էլ ամենուր միացնելը շատ ավելի մեծ փոփոխություն է, քան խնդիրը պահանջում է։ Որոշեք, թե կամուրջը որ կադրերը պետք է ստանա և որոնք պետք է թողարկի, ապա տվեք միայն այդ վարքագիծը այն սահմանում, որը դրա սեփականատերն է։ Պահպանեք վահանակի հասանելիությունը նախքան հեռավորությամբ կառավարվող կամուրջը փոխելը։
Կապի վերականգնումը թեստի կեսն է, մյուս կեսը հաստատելն է, որ արգելափակված մնալու հոսքը դեռ արգելափակված է։
Գրանցեք, թե որ սեփականատերն է զտել, որ կառավարումը փոխվել և որ երկու հոսքերն եք ստուգել։ Այդ գրառումը թույլ չի տալիս, որ հաջորդ միջադեպը սկսվի նույն ենթադրությամբ, թե pfSense անտեսում է ինքն իրեն։