Virtuell pfSense TAP-Bréck: dräi Plazen, wou eng Frame stierwe kann

Dir schalt eng Regel op der LAN-Interface aus, d'Frame verschwënnt trotzdem, an d'Conclusioun ass, datt pfSense seng eege Firewall ignoréiert. Wat normalerweis geschitt ass, ass datt en aneren Eegentemer d'Entscheedung geholl huet: d'Bréck selwer, d'Member-Interface oder de virtuelle Switch baussent dem Gaascht. Jiddwereen huet seng eege Kontroll a säin eege Log.

Déi dräi Grenzen hei drënner si wäert getrennt ze ginn, ier Dir eng Astellung ännert, well eng auszeschalten déi aner net kompenséiere kann.

Eng Frame, dräi Politikbesëtzer

Eng Frame vun engem TAP-Client kënnt duerch den Tunnelapparat eran, iwwer d'pfSense-Bréck, geet duerch eng Member-LAN eraus an duerchgeet duerno e virtuelle Switch, ier se eppes erreecht. Bannen am Gaascht ka Filtréieren op der Bréck oder op de Member-Interfacen geschéien, a wéi eng aktiv ass, ass eng Konfiguratiounswiel an net eng fix Eegenschaft. Baussen dem Gaascht entscheet den Hypervisor, ob deen virtuellen Adapter Frames mat enger Quell-MAC dierf schécken, déi him net gehéiert. E Wal op engem vun deene Punkten gesäit aus Clientperspektiv identesch aus.

Schreift de virgesi Wee op, ier Dir ënnersicht: Tunnelmemeber, Bréck, LAN-Member, virtuelle Switch, Destinatioun. Frot duerno, wéi een Eegentemer op deem Wee d'Frame gesinn hätt.

Wéi eng pfSense-Kontroll filtréiert

pfSense dokumentéiert zwee sysctl dofir, een fir d'Filtréieren op de Membere vun der Bréck an een fir d'Filtréieren op der Bréck selwer, an op d'mannst ee vun deenen zwee muss ageschalt bleiwen. Filtréieren op Bréckniveau gëllt fir Trafic, deen iwwer d'Membere vun der Bréck ukommt, also ass et vun der Richtung hier agehend an net symmetresch. Liest d'Reegelen op der Interface, déi tatsächlech filtréiert, well eng Regel op engem Member ouni Filterroll guer näischt mécht. D'Dokumentatioun iwwer d'Bréckfiltréieren erkläert de Besëtz.

Eng Member-Interface ouni IP-Adress huet keen eegene Adress- oder Subnet-Makro, also kann eng Regel géint dee Makro eppes anescht beschreiwen wéi d'LAN, déi Dir gemengt hutt. Benotzt bewosst zougestallte Netzwierkobjekter amplaz vu Komforts-Makroen.

E Fragment ass keng Frame

Ethernet-Framen droen IP-Paketen, an e IP-Paket ka e Fragment vun engem gréisseren Datagramm sinn, also sinn déi zwee Wierder net ëmgetoschbar. Et gëtt och en bannenzege Paket am Tunnel an en baussenzege Transportpaket dobaussen, an e Feeler ka bei béide gehéieren. E klengen Ping probéiert ee Wee duerch dee Stack a beweist näischt iwwer eng grouss Iwwerdroung. Vergläicht den Ausdausch, deen op zwou ugrenzende Grenze feelt a liest de Grond vum Wal, ier Dir eng Regel beschëllegt.

Wa Fragmenter verschwannen, ass d'Äntwert eng limitéiert Korrektur oder eng Enquête iwwer d'Paketgréisst, net eng Entscheedung, d'Filtréieren komplett auszeschalten.

Den Hypervisor huet seng eege Zouloossentscheedung

E Gaascht, dee Brécke fir aner Maschinne mécht, schéckt Frames, deenen hir Quell-MAC-Adressen net déi vun sengem eegene Adapter sinn, a vill virtuell Switchen huelen dat als Spoofing, wann d'Portgrupp et net erlaabt. Déi Iwwerdroung ze erlaben an dem Adapter ze erlaben all Frame z'empfänken sinn getrennt Kontrollen, a béid iwwerall anzeschalten ass eng vill méi grouss Ännerung, wéi de Problem erfuerdert. Bestëmmt, wéi eng Framen d'Bréck muss empfänken a muss schécken, a gitt dann nëmmen dat Verhalen op der Grenz, déi et besëtzt. Behält den Konsolzougang, ier Dir eng Bréck ännert, déi aus der Fern verwalt gëtt.

D'Konnektivitéit erëmzestellen ass d'Halschent vum Test; déi aner Halschent ass ze bestätegen, datt e Floss, dee blockéiert bleiwe soll, nach ëmmer blockéiert ass.

Notéiert, wéi een Eegentemer filtréiert huet, wéi eng Kontroll geännert gouf a wéi eng zwee Flëss Dir iwwerpréift hutt. Dee Rekord verhënnert, datt den nächsten Tëschefall mat der selwechter Virgab ufänkt, datt pfSense sech selwer ignoréiert.