Virtuālais pfSense TAP tilts: trīs vietas, kur kadrs var iet bojā

Jūs izslēdzat noteikumu LAN saskarnē, kadrs joprojām pazūd, un secinājums ir tāds, ka pfSense ignorē savu ugunsmūri. Parasti ir noticis tas, ka lēmumu pieņēmis cits īpašnieks: pats tilts, dalībnieka saskarne vai virtuālais komutators ārpus viesa. Katram ir sava vadība un savs žurnāls.

Trīs zemāk minētās robežas ir vērts nošķirt pirms iestatījuma maiņas, jo vienas izslēgšana nevar kompensēt otru.

Viens kadrs, trīs politikas īpašnieki

Kadrs no TAP klienta ienāk pa tuneļa ierīci, šķērso pfSense tiltu, iziet pa LAN dalībnieku un pēc tam pirms kaut kā sasniegšanas iziet cauri virtuālajam komutatoram. Viesa iekšienē filtrēšana var notikt uz tilta vai dalībnieku saskarnēs, un tas, kura ir aktīva, ir konfigurācijas izvēle, nevis nemainīga īpašība. Ārpus viesa hipervizors izlemj, vai šis virtuālais adapteris drīkst sūtīt kadrus ar avota MAC, kas tam nepieder. Nomešana jebkurā no šiem punktiem no klienta puses izskatās vienādi.

Pirms izmeklēšanas pierakstiet paredzēto ceļu: tuneļa dalībnieks, tilts, LAN dalībnieks, virtuālais komutators, galamērķis. Pēc tam jautājiet, kurš īpašnieks šajā ceļā būtu redzējis kadru.

Kura pfSense vadība filtrē

pfSense dokumentē divus sysctl šim nolūkam, vienu filtrēšanai uz tilta dalībniekiem un vienu filtrēšanai pašā tiltā, un vismaz vienam no tiem jāpaliek ieslēgtam. Tilta līmeņa filtrēšana attiecas uz trafiku, kas nāk pa tilta dalībniekiem, tāpēc virziena ziņā tā ir ienākoša, nevis simetriska. Lasiet noteikumus saskarnē, kas faktiski filtrē, jo noteikums, kas uzstādīts dalībniekam bez filtrēšanas lomas, nedara absolūti neko. Tilta filtrēšanas dokumentācija izskaidro piederību.

Dalībnieka saskarnei bez IP adreses nav savas adreses vai apakštīkla makro, tāpēc noteikums, kas rakstīts pret šo makro, var aprakstīt ko citu, nevis paredzēto LAN. Izmantojiet apzināti piešķirtus tīkla objektus ērtības makro vietā.

Fragments nav kadrs

Ethernet kadri pārnēsā IP paketes, un IP pakete var būt lielākas datagrammas fragments, tāpēc šie divi vārdi nav aizstājami. Tuneļa iekšienē ir arī iekšējā pakete, bet ārpus tā ir ārējā transporta pakete, un kļūme var piederēt jebkurai no tām. Mazs ping pārbauda vienu ceļu caur šo steku un neko nepierāda par lielu pārraidi. Salīdziniet neveiksmīgo apmaiņu divās blakus esošās robežās un izlasiet nomešanas iemeslu, pirms vainojat noteikumu.

Ja fragmenti pazūd, atbilde ir ierobežota labojuma vai pakes izmēra izmeklēšana, nevis lēmums pilnībā izslēgt filtrēšanu.

Hipervizoram ir savs uzņemšanas lēmums

Viesis, kas tiltē trafiku citām mašīnām, izstaro kadrus, kuru avota MAC adreses nav viņa paša adaptera, un daudzi virtuālie komutatori to uzskata par viltošanu, ja vien portu grupa to neļauj. Atļaut šo pārraidi un atļaut adapterim saņemt katru kadru ir atsevišķas vadības, un abu ieslēgšana visur ir daudz lielāka izmaiņa, nekā problēma prasa. Nosakiet, kurus kadrus tiltam jāsaņem un jāsūta, pēc tam piešķiriet tikai šo uzvedību tai robežai, kurai tā pieder. Saglabājiet konsoles piekļuvi pirms attālināti pārvaldīta tilta maiņas.

Savienojamības atjaunošana ir puse no testa; otra puse ir apstiprināt, ka plūsma, kurai jāpaliek bloķētai, joprojām ir bloķēta.

Pierakstiet, kurš īpašnieks filtrēja, kura vadība tika mainīta un kuras divas plūsmas jūs pārbaudījāt. Šis ieraksts neļauj nākamajam incidentam sākties ar to pašu pieņēmumu, ka pfSense ignorē pats sevi.