Sýndar pfSense TAP-brú: þrír staðir þar sem rammi getur dáið

Þú slekkur á reglu á LAN-viðmótinu, ramminn hverfur samt, og niðurstaðan er sú að pfSense hunsar eigin eldvegg. Það sem venjulega gerðist er að annar eigandi tók ákvörðunina: brúin sjálf, meðlimsviðmótið eða sýndarrofinn utan gestarins. Hver hefur sína stýringu og sína skrá.

Þrjú mörkin hér að neðan er vert að aðgreina áður en þú breytir stillingu, því að slökkva á einu getur ekki bætt upp annað.

Einn rammi, þrír eigendur stefnu

Rammi frá TAP-biðlara kemur inn um göngutækið, fer yfir pfSense-brúna, fer út um LAN-meðlim og fer síðan um sýndarrofa áður en hann nær nokkru. Inni í gestinum getur síun átt sér stað á brúnni eða á meðlimsviðmótunum, og hvor er virk er stillingarval en ekki fastur eiginleiki. Utan gestarins ákveður hypervisor hvort það sýndaradapter megi senda ramma með upprunamac sem það á ekki. Fall á einhverjum þessara staða lítur eins út frá biðlaranum.

Skrifaðu fyrirhugaða leið niður áður en þú rannsakar: göngumeðlimur, brú, LAN-meðlimur, sýndarrofi, áfangastaður. Spurðu síðan hvaða eigandi á þeirri leið hefði séð rammann.

Hvaða pfSense-stýring síðar

pfSense skjalfestir tvo sysctl fyrir þetta, einn fyrir síun á brúarmeðlimum og einn fyrir síun á brúnni sjálfri, og að minnsta kosti annar þeirra verður að vera áfram virkur. Síun á brúarstigi á við umferð sem kemur um brúarmeðlimina, svo hún snýr inn á við í stefnu en er ekki samhverf. Lestu reglurnar á því viðmóti sem síar í raun, því regla sett á meðlim án síunarhlutverks gerir alls ekkert. Skjöl um síun brúa útskýra eignarhaldið.

Meðlimsviðmót án IP-tölu hefur ekkert eigið tölu- eða undirnetsmakró, svo regla skrifuð gegn því makrói getur lýst öðru en því LANi sem þú áttir við. Notaðu viljandi úthlutaða nethluti í stað þægindamakróa.

Brot er ekki rammi

Ethernet-rammar bera IP-pakka, og IP-pakki getur verið brot úr stærra gagnagramma, svo þessi tvö orð eru ekki skiptanleg. Það er líka innri pakki inni í göngunum og ytri flutningspakki utan þeirra, og bilun getur tilheyrt hvorum sem er. Lítið ping prófar eina leið í gegnum þann stafla og sannar ekkert um stóra flutninga. Berddu misheppnuðu skiptin á tveimur aðliggjandi mörkum og lestu ástæðu fallsins áður en þú kennir reglu um.

Ef brot hverfa er svarið afmarkaðar leiðréttingar eða rannsókn á pakkastærð, ekki ákvörðun um að slökkva algjörlega á síun.

Hypervisor hefur sína eigin inntökuákvörðun

Gestur sem brúar umferð fyrir aðrar vélar sendir ramma þar sem upprunamac-föngin eru ekki þess eigin adapter, og mörg sýndarrofa líta á það sem fölsun nema portahópurinn leyfi það. Að leyfa þá sendingu og að leyfa adapternum að taka á móti hverjum ramma eru aðskildar stýringar, og að virkja bæði alls staðar er miklu stærri breyting en vandamálið krefst. Finndu út hvaða ramma brúin verður að taka á móti og verður að senda, og veittu síðan aðeins þá hegðun á því marki sem á hana. Haltu stjórnborðsaðgangi áður en þú breytir brú sem stýrt er í fjarska.

Að endurheimta tengingu er helmingur prófsins; hinn helmingurinn er að staðfesta að flæði sem á að vera lokað er enn lokað.

Skráðu hvaða eigandi síðaði, hvaða stýringu var breytt og hvaða tvö flæði þú staðfestir. Sú skráning kemur í veg fyrir að næsti atburður byrji með sömu tilgátu að pfSense hunsa sig sjálft.