Виртуелен pfSense TAP мост: три места каде кадарот може да загине

Исклучувате правило на интерфејсот LAN, кадарот сепак исчезнува, и заклучокот е дека pfSense го игнорира сопствениот firewall. Обично се случило друг сопственик да ја донесе одлуката: самиот мост, членскиот интерфејс или виртуелниот комутатор надвор од гостинот. Секој има своја контрола и свој дневник.

Трите граници подолу вреди да се одвојат пред да смените поставка, бидејќи исклучувањето на едната не може да ја надомести другата.

Еден кадар, три сопственици на политика

Кадар од TAP клиент влегува преку тунелскиот уред, го преминува мостот на pfSense, излегува преку член на LAN и потоа поминува низ виртуелен комутатор пред да стигне до нешто. Внатре во гостинот, филтрирањето може да се случи на мостот или на членските интерфејси, а кој е активен е избор на конфигурација, а не фиксно својство. Надвор од гостинот, хипервизорот одлучува дали тој виртуелен адаптер смее да испраќа кадри со изворен MAC што не е негов. Отфрлање во која било од тие точки изгледа исто од страната на клиентот.

Запишете ја предвидената патека пред истрагата: член на тунелот, мост, член на LAN, виртуелен комутатор, дестинација. Потоа прашајте кој сопственик на таа патека би го видел кадарот.

Која контрола на pfSense филтрира

pfSense документира два sysctl за ова, еден за филтрирање на членовите на мостот и еден за филтрирање на самиот мост, и барем едниот од нив мора да остане вклучен. Филтрирањето на ниво на мост се однесува на сообраќај што пристигнува преку членовите на мостот, затоа е влезно по ориентација, а не симетрично. Читајте ги правилата на интерфејсот што навистина филтрира, бидејќи правило поставено на член без улога за филтрирање не прави ништо. Документацијата за филтрирање на мост ја објаснува сопственоста.

Членски интерфејс без IP адреса нема сопствен макро за адреса или подмрежа, затоа правило напишано против тој макро може да опише нешто друго освен предвидената LAN. Користете намерно доделени мрежни објекти наместо макроа за удобност.

Фрагментот не е кадар

Ethernet кадрите пренесуваат IP пакети, а IP пакетот може да биде фрагмент од поголема датаграма, затоа двата збора не се заменливи. Има и внатрешен пакет внатре во тунелот и надворешен транспортен пакет надвор од него, и дефектот може да припаѓа на кој било од нив. Мал ping извежбува една патека низ тој стек и не докажува ништо за голем пренос. Споредете ја неуспешната размена на две соседни граници и прочитајте ја причината за отфрлање пред да обвините правило.

Ако фрагментите исчезнат, одговорот е ограничена поправка или истрага за големината на пакетот, а не одлука целосно да се исклучи филтрирањето.

Хипервизорот има своја одлука за прием

Гостин што го мости сообраќајот за други машини испраќа кадри чии изворни MAC адреси не се на неговиот сопствен адаптер, и многу виртуелни комутатори тоа го сметаат за лажно претставување, освен ако портната група тоа не го дозволува. Дозволувањето на тој пренос и дозволувањето на адаптерот да прима секој кадар се одделни контроли, а вклучувањето на двете насекаде е многу поголема промена отколку што бара проблемот. Определете кои кадри мостот мора да ги прима и мора да ги испраќа, потоа доделете го само тоа однесување на границата што го поседува. Задржете пристап до конзолата пред да смените мост што се управува оддалечено.

Враќањето на поврзувањето е половина од тестот; другата половина е да се потврди дека текот што треба да остане блокиран и понатаму е блокиран.

Запишете кој сопственик филтрирал, која контрола е сменета и кои два тека сте ги провериле. Тој запис спречува следниот инцидент да започне со истата претпоставка дека pfSense се игнорира себеси.