Виртуалды pfSense TAP көпірі: кадр өлуі мүмкін үш орын
Көпір, оның мүшелері және виртуалды коммутатор әрқайсысы бөлек шешім қабылдайды. Жолда ешқашан болмаған басқаруды өшіруден бұрын қай иесі сүзгенін анықтаңыз.
Сіз LAN интерфейсіндегі ережені өшіресіз, кадр бәрібір жоғалады, ал қорытынды — pfSense өзінің firewall-ын елемейді. Әдетте шешімді басқа ие қабылдаған: көпірдің өзі, мүше интерфейсі немесе қонақтан тыс виртуалды коммутатор. Әрқайсысының өз басқаруы мен өз журналы бар.
Төмендегі үш шекараны кез келген параметрді өзгертуден бұрын бөлу керек, өйткені біреуін өшіру екіншісін өтей алмайды.
Бір кадр, үш саясат иесі
TAP клиентінің кадры туннель құрылғысынан кіреді, pfSense көпірінен өтеді, LAN мүшесінен шығады, содан кейін бірдеңеге жетпес бұрын виртуалды коммутатордан өтеді. Қонақтың ішінде сүзу көпірде немесе мүше интерфейстерде болуы мүмкін, және қайсысы белсенді екені тұрақты қасиет емес, конфигурация таңдауы. Қонақтан тыс гипервизор бұл виртуалды адаптердің өзіне тиесілі емес бастапқы MAC-пен кадр жіберуіне болатынын шешеді. Осы нүктелердің кез келгеніндегі түсіру клиент жағынан бірдей көрінеді.
Тексеруден бұрын көзделген жолды жазыңыз: туннель мүшесі, көпір, LAN мүшесі, виртуалды коммутатор, меже. Содан кейін сол жолдағы қай ие кадрды көрген болар еді деп сұраңыз.
Қай pfSense басқаруы сүзіп жатыр
pfSense бұл үшін екі sysctl құжаттайды, біреуі көпір мүшелерінде сүзуге, екіншісі көпірдің өзінде сүзуге арналған, және олардың кемінде біреуі қосулы қалуы керек. Көпір деңгейіндегі сүзу көпір мүшелері арқылы келетін трафикке қолданылады, сондықтан ол бағыты бойынша кіріс, симметриялы емес. Шын мәнінде сүзіп жатқан интерфейстегі ережелерді оқыңыз, өйткені сүзу рөлі жоқ мүшеге қойылған ереже ештеңе істемейді. Көпір сүзу құжаттамасы меншікті түсіндіреді.
IP мекенжайы жоқ мүше интерфейсінің өз мекенжай немесе ішкі желі макросы жоқ, сондықтан сол макросқа қарсы жазылған ереже сіз көздеген LAN-нан басқа нәрсені сипаттауы мүмкін. Ыңғайлы макрос орнына әдейі тағайындалған желі нысандарын пайдаланыңыз.
Фрагмент кадр емес
Ethernet кадрлары IP пакеттерін тасымалдайды, ал IP пакеті үлкенірек датаграмманың фрагменті болуы мүмкін, сондықтан бұл екі сөз бірін-бірі алмастырмайды. Туннельдің ішінде ішкі пакет, оның сыртында сыртқы көлік пакеті де бар, және ақау екеуінің кез келгеніне тиесілі болуы мүмкін. Кішкене ping осы стек арқылы бір жолды тексереді және үлкен тасымал туралы ештеңе дәлелдемейді. Сәтсіз алмасуды көршілес екі шекарада салыстырыңыз және ережені кінәламас бұрын түсіру себебін оқыңыз.
Фрагменттер жоғалса, жауап — шектеулі түзету немесе пакет өлшемін зерттеу, сүзуді толық өшіру шешімі емес.
Гипервизордың өз қабылдау шешімі бар
Басқа машиналар үшін трафикті көпірлейтін қонақ бастапқы MAC мекенжайлары өз адаптеріне тиесілі емес кадрлар шығарады, және көптеген виртуалды коммутаторлар порт тобы рұқсат етпесе, мұны жалғандау деп санайды. Бұл жіберуге рұқсат беру және адаптерге әр кадрды қабылдауға рұқсат беру бөлек басқарулар, және екеуін барлық жерде қосу мәселенің талап ететінінен әлдеқайда үлкен өзгеріс. Көпір қандай кадрларды қабылдауы және қандай кадрларды жіберуі керектігін анықтаңыз, содан кейін тек сол мінез-құлықты оған иелік ететін шекарада беріңіз. Қашықтан басқарылатын көпірді өзгертуден бұрын консольге қатынауды сақтаңыз.
Байланысты қалпына келтіру сынақтың жартысы; екінші жартысы — бұғатталған күйде қалуы тиіс ағын әлі де бұғатталғанын растау.
Қай ие сүзгенін, қай басқару өзгергенін және қай екі ағынды тексергеніңізді жазыңыз. Бұл жазба келесі оқиғаның pfSense өзін елемейді деген сол болжаммен басталуына жол бермейді.