വെർച്വൽ pfSense TAP ബ്രിഡ്ജ്: ഫ്രെയിം മരിക്കാനിടയുള്ള മൂന്ന് സ്ഥലങ്ങൾ

LAN ഇന്റർഫേസിലെ ഒരു നിയമം നിങ്ങൾ പ്രവർത്തനരഹിതമാക്കുന്നു, ഫ്രെയിം എന്നിട്ടും അപ്രത്യക്ഷമാകുന്നു, ഒപ്പം pfSense സ്വന്തം ഫയർവാൾ അവഗണിക്കുന്നു എന്നതാണ് നിഗമനം. സാധാരണയായി സംഭവിച്ചത് മറ്റൊരു ഉടമ തീരുമാനം എടുത്തു എന്നതാണ്: ബ്രിഡ്ജ് തന്നെ, അംഗ ഇന്റർഫേസ്, അല്ലെങ്കിൽ ഗസ്റ്റിന് പുറത്തുള്ള വെർച്വൽ സ്വിച്ച്. ഓരോന്നിനും സ്വന്തം നിയന്ത്രണവും സ്വന്തം ലോഗും ഉണ്ട്.

താഴെയുള്ള മൂന്ന് അതിരുകൾ ഒരു ക്രമീകരണം മാറ്റുന്നതിന് മുമ്പ് വേർതിരിക്കേണ്ടതാണ്, കാരണം ഒന്ന് പ്രവർത്തനരഹിതമാക്കുന്നത് മറ്റൊന്നിനെ നികത്താൻ കഴിയില്ല.

ഒരു ഫ്രെയിം, മൂന്ന് നയ ഉടമകൾ

TAP ക്ലയന്റിൽ നിന്നുള്ള ഫ്രെയിം ടണൽ ഉപകരണത്തിലൂടെ പ്രവേശിക്കുന്നു, pfSense ബ്രിഡ്ജ് കടക്കുന്നു, LAN അംഗത്തിലൂടെ പുറത്തുപോകുന്നു, എന്നിട്ട് എന്തെങ്കിലും എത്തുന്നതിന് മുമ്പ് ഒരു വെർച്വൽ സ്വിച്ചിലൂടെ കടന്നുപോകുന്നു. ഗസ്റ്റിനുള്ളിൽ ഫിൽട്ടറിംഗ് ബ്രിഡ്ജിലോ അംഗ ഇന്റർഫേസുകളിലോ സംഭവിക്കാം, ഏതാണ് സജീവമെന്നത് സ്ഥിരമായ സ്വഭാവമല്ല, കോൺഫിഗറേഷന്റെ തിരഞ്ഞെടുപ്പാണ്. ഗസ്റ്റിന് പുറത്ത് ഹൈപ്പർവൈസർ തീരുമാനിക്കുന്നത്, ആ വെർച്വൽ അഡാപ്റ്റർക്ക് തന്റേതല്ലാത്ത ഉറവിട MAC ഉള്ള ഫ്രെയിമുകൾ അയയ്ക്കാമോ എന്നാണ്. ആ ഏതെങ്കിലും ബിന്ദുവിലെ ഡ്രോപ്പ് ക്ലയന്റിന്റെ വീക്ഷണത്തിൽ ഒരുപോലെ കാണപ്പെടുന്നു.

അന്വേഷണത്തിന് മുമ്പ് ഉദ്ദേശിച്ച പാത എഴുതിവയ്ക്കുക: ടണൽ അംഗം, ബ്രിഡ്ജ്, LAN അംഗം, വെർച്വൽ സ്വിച്ച്, ലക്ഷ്യസ്ഥാനം. എന്നിട്ട് ആ പാതയിൽ ഏത് ഉടമ ഫ്രെയിം കണ്ടിരിക്കുമെന്ന് ചോദിക്കുക.

ഏത് pfSense നിയന്ത്രണമാണ് ഫിൽട്ടർ ചെയ്യുന്നത്

pfSense ഇതിനായി രണ്ട് sysctl രേഖപ്പെടുത്തുന്നു, ഒന്ന് ബ്രിഡ്ജ് അംഗങ്ങളിൽ ഫിൽട്ടറിംഗിനും മറ്റൊന്ന് ബ്രിഡ്ജിൽ തന്നെ ഫിൽട്ടറിംഗിനും, അവയിൽ ഒരെണ്ണമെങ്കിലും സജീവമായി തുടരണം. ബ്രിഡ്ജ് തലത്തിലുള്ള ഫിൽട്ടറിംഗ് ബ്രിഡ്ജ് അംഗങ്ങളിലൂടെ വരുന്ന ട്രാഫിക്കിന് ബാധകമാണ്, അതിനാൽ അത് സമമിതമല്ല, ദിശയിൽ ഇൻബൗണ്ടാണ്. യഥാർത്ഥത്തിൽ ഫിൽട്ടർ ചെയ്യുന്ന ഇന്റർഫേസിലെ നിയമങ്ങൾ വായിക്കുക, കാരണം ഫിൽട്ടർ റോളില്ലാത്ത അംഗത്തിൽ ഇട്ട നിയമം ഒന്നും ചെയ്യുന്നില്ല. ബ്രിഡ്ജ് ഫിൽട്ടറിംഗ് ഡോക്യുമെന്റേഷൻ ഉടമസ്ഥാവകാശം വ്യക്തമാക്കുന്നു.

IP വിലാസമില്ലാത്ത അംഗ ഇന്റർഫേസിന് സ്വന്തമായി വിലാസമോ സബ്നെറ്റ് മാക്രോയോ ഇല്ല, അതിനാൽ ആ മാക്രോയ്ക്കെതിരെ എഴുതിയ നിയമം നിങ്ങൾ ഉദ്ദേശിച്ച LAN അല്ലാതെ മറ്റെന്തെങ്കിലും വിവരിച്ചേക്കാം. സൗകര്യ മാക്രോകൾക്ക് പകരം ബോധപൂർവം അനുവദിച്ച നെറ്റ്വർക്ക് ഒബ്ജക്റ്റുകൾ ഉപയോഗിക്കുക.

ഫ്രാഗ്മെന്റ് ഫ്രെയിമല്ല

ഇഥർനെറ്റ് ഫ്രെയിമുകൾ IP പാക്കറ്റുകൾ വഹിക്കുന്നു, ഒരു IP പാക്കറ്റ് വലിയ ഡാറ്റാഗ്രാമിന്റെ ഫ്രാഗ്മെന്റ് ആകാം, അതിനാൽ ഈ രണ്ട് വാക്കുകൾ പരസ്പരം മാറ്റാനാവില്ല. ടണലിനുള്ളിൽ ഒരു ആന്തരിക പാക്കറ്റും അതിന് പുറത്ത് ഒരു ബാഹ്യ ഗതാഗത പാക്കറ്റും ഉണ്ട്, പരാജയം ഏതിനും ആകാം. ചെറിയൊരു ping ആ സ്റ്റാക്കിലൂടെ ഒരു പാത മാത്രം പരീക്ഷിക്കുന്നു, വലിയ കൈമാറ്റത്തെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല. അടുത്തടുത്ത രണ്ട് അതിരുകളിലെ പരാജയപ്പെട്ട കൈമാറ്റം താരതമ്യം ചെയ്യുക, ഒരു നിയമത്തെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് ഡ്രോപ്പിന്റെ കാരണം വായിക്കുക.

ഫ്രാഗ്മെന്റുകൾ അപ്രത്യക്ഷമാകുന്നുവെങ്കിൽ ഉത്തരം പരിമിതമായ തിരുത്തലോ പാക്കറ്റ് വലിപ്പത്തിന്റെ അന്വേഷണമോ ആണ്, ഫിൽട്ടറിംഗ് പൂർണ്ണമായി പ്രവർത്തനരഹിതമാക്കാനുള്ള തീരുമാനമല്ല.

ഹൈപ്പർവൈസറിന് സ്വന്തം പ്രവേശന തീരുമാനമുണ്ട്

മറ്റ് യന്ത്രങ്ങൾക്കുവേണ്ടി ട്രാഫിക് ബ്രിഡ്ജ് ചെയ്യുന്ന ഗസ്റ്റ് സ്വന്തം അഡാപ്റ്ററിന്റേതല്ലാത്ത ഉറവിട MAC വിലാസങ്ങളുള്ള ഫ്രെയിമുകൾ പുറപ്പെടുവിക്കുന്നു, പോർട്ട് ഗ്രൂപ്പ് അനുവദിക്കുന്നില്ലെങ്കിൽ പല വെർച്വൽ സ്വിച്ചുകളും അതിനെ സ്പൂഫിംഗ് ആയി കാണുന്നു. ആ പ്രക്ഷേപണം അനുവദിക്കുന്നതും അഡാപ്റ്ററിന് ഓരോ ഫ്രെയിമും സ്വീകരിക്കാൻ അനുവാദം നൽകുന്നതും വെവ്വേറെ നിയന്ത്രണങ്ങളാണ്, രണ്ടും എല്ലായിടത്തും സജീവമാക്കുന്നത് പ്രശ്നത്തിന് ആവശ്യമായതിനേക്കാൾ വലിയ മാറ്റമാണ്. ബ്രിഡ്ജ് ഏത് ഫ്രെയിമുകൾ സ്വീകരിക്കണമെന്നും ഏത് പുറപ്പെടുവിക്കണമെന്നും കണ്ടെത്തി, അതിന്റെ ഉടമസ്ഥതയുള്ള അതിരിൽ മാത്രം ആ പെരുമാറ്റം നൽകുക. വിദൂരത്തുനിന്ന് നിയന്ത്രിക്കുന്ന ബ്രിഡ്ജ് മാറ്റുന്നതിന് മുമ്പ് കൺസോൾ ആക്സസ് നിലനിർത്തുക.

കണക്റ്റിവിറ്റി പുനഃസ്ഥാപിക്കുന്നത് പരീക്ഷയുടെ പകുതിയാണ്; ബാക്കി പകുതി തടഞ്ഞിരിക്കേണ്ട ഒരു ഫ്ലോ ഇപ്പോഴും തടഞ്ഞിരിക്കുന്നു എന്ന് സ്ഥിരീകരിക്കുന്നതാണ്.

ഏത് ഉടമ ഫിൽട്ടർ ചെയ്തു, ഏത് നിയന്ത്രണം മാറി, ഏത് രണ്ട് ഫ്ലോകൾ നിങ്ങൾ പരിശോധിച്ചു എന്നിവ രേഖപ്പെടുത്തുക. ആ രേഖ അടുത്ത സംഭവം pfSense സ്വയം അവഗണിക്കുന്നു എന്ന അതേ ഊഹത്തിൽ തുടങ്ങുന്നത് തടയുന്നു.