Виртуалдык pfSense TAP көпүрөсү: кадр өлүшү мүмкүн болгон үч жер

Сиз LAN интерфейсиндеги эрежени өчүрөсүз, кадр баары бир жоголот, жана жыйынтык — pfSense өзүнүн firewall-ын этибарга албайт. Адатта чечимди башка ээ кабыл алган: көпүрөнүн өзү, мүчө интерфейси же коноктон сырттагы виртуалдык коммутатор. Ар биринин өз башкаруусу жана өз журналы бар.

Төмөнкү үч чекти кандайдыр бир жөндөөнү өзгөртүүнүн алдында бөлүү керек, анткени бирөөнү өчүрүү экинчисин ордун толтура албайт.

Бир кадр, үч саясат ээси

TAP кардарынын кадры туннелдик түзмөктөн кирет, pfSense көпүрөсүнөн өтөт, LAN мүчөсүнөн чыгат, анан бир нерсеге жетээрдин алдында виртуалдык коммутатордон өтөт. Коноктун ичинде чыпкалоо көпүрөдө же мүчө интерфейстерде болушу мүмкүн, жана кайсынысы активдүү экени туруктуу касиет эмес, конфигурация тандоосу. Коноктон сыртта гипервизор бул виртуалдык адаптердин өзүнө таандык эмес булак MAC менен кадр жөнөтүүсүнө болорун чечет. Ошол пункттардын кайсынысындагы түшүү кардар тарабынан бирдей көрүнөт.

Изилдөөнүн алдында көздөлгөн жолду жазыңыз: туннел мүчөсү, көпүрө, LAN мүчөсү, виртуалдык коммутатор, багыт. Анан ошол жолдогу кайсы ээ кадрды көрмөк деп сураңыз.

Кайсы pfSense башкаруусу чыпкалап жатат

pfSense бул үчүн эки sysctl документтейт, бири көпүрө мүчөлөрүндө чыпкалоо үчүн, экинчиси көпүрөнүн өзүндө чыпкалоо үчүн, жана алардын жок дегенде бири күйүк бойдон калышы керек. Көпүрө деңгээлиндеги чыпкалоо көпүрө мүчөлөрү аркылуу келген трафикке тиешелүү, ошондуктан ал багыты боюнча кирүүчү, симметриялуу эмес. Чындыгында чыпкалап жаткан интерфейстеги эрежелерди окуңуз, анткени чыпкалоо ролу жок мүчөгө коюлган эреже эч нерсе кылбайт. Көпүрө чыпкалоо документтери ээлик мамилени түшүндүрөт.

IP дареги жок мүчө интерфейсинин өз дареги же ички тармак макросу жок, ошондуктан ошол макроско каршы жазылган эреже сиз көздөгөн LANдан башка нерсени сүрөттөшү мүмкүн. Ыңгайлуу макростардын ордуна атайын дайындалган тармак объектилерин колдонуңуз.

Фрагмент кадр эмес

Ethernet кадрлары IP пакеттерин ташыйт, ал эми IP пакети чоңураак датаграмманын фрагменти болушу мүмкүн, ошондуктан бул эки сөз бирин-бири алмаштырбайт. Туннелдин ичинде ички пакет, сыртында тышкы транспорттук пакет да бар, жана бузулуу экөөнүн кайсынысына болсо да таандык болушу мүмкүн. Кичине ping ошол стек аркылуу бир жолду текшерет жана чоң өткөрүү жөнүндө эч нерсени далилдебейт. Ийгиликсиз алмашууну коңшу эки чекте салыштырыңыз жана эрежени күнөөлөөнүн алдында түшүү себебин окуңуз.

Эгер фрагменттер жоголсо, жооп — чектелген оңдоо же пакет өлчөмүн изилдөө, чыпкалоону толук өчүрүү чечими эмес.

Гипервизордун өзүнүн кабыл алуу чечими бар

Башка машиналар үчүн трафикти көпүрөлөгөн конок булак MAC дареги өз адаптерине таандык эмес кадрларды чыгарат, жана көптөгөн виртуалдык коммутаторлор порт тобу уруксат бербесе, муну жасалмалоо деп эсептейт. Ошол берүүгө уруксат берүү жана адаптерге ар бир кадрды кабыл алууга уруксат берүү өзүнчө башкаруулар, жана экөөнү тең бардык жерде күйгүзүү маселенин талабынан алда канча чоң өзгөрүү. Көпүрө кайсы кадрларды кабыл алышы жана кайсыларды жөнөтүшү керектигин аныктаңыз, анан ошол жүрүм-турумду гана ага ээлик кылган чекте бериңиз. Алыстан башкарылуучу көпүрөнү өзгөртүүнүн алдында консолго кирүү мүмкүнчүлүгүн сактаңыз.

Байланышты калыбына келтирүү сынактын жарымы; экинчи жарымы — бөгөттөлүп калышы керек болгон агым дагы эле бөгөттөлгөнүн ырастоо.

Кайсы ээ чыпкалаганын, кайсы башкаруу өзгөргөнүн жана кайсы эки агымды текшергениңизди жазыңыз. Бул жазуу кийинки окуянын pfSense өзүн этибарга албайт деген ошол эле божомол менен башталышына жол бербейт.