Виртуал pfSense TAP гүүр: кадр үхэж болох гурван газар

Та LAN интерфэйс дээрх дүрмийг унтраадаг, кадр гэсэн хэдий ч алга болдог, дүгнэлт нь pfSense өөрийн firewall-ыг үл тоомсорлож байна гэсэн үг. Ихэвчлэн өөр эзэмшигч шийдвэр гаргасан байдаг: гүүр өөрөө, гишүүн интерфэйс, эсвэл зочны гаднах виртуал шилжүүлэгч. Тус бүр өөрийн удирдлага, өөрийн бүртгэлтэй.

Доорх гурван хил хязгаарыг ямар нэг тохиргоог өөрчлөхийн өмнө ялгах нь зүйтэй, учир нь нэгийг унтраах нь нөгөөг нөхөж чадахгүй.

Нэг кадр, гурван бодлогын эзэмшигч

TAP хэрэглэгчийн кадр туннелийн төхөөрөмжөөр орж, pfSense гүүрийг гатлаж, LAN гишүүнээр гарч, дараа нь ямар нэг зүйлд хүрэхийн өмнө виртуал шилжүүлэгчээр дамждаг. Зочны дотор шүүлт нь гүүр дээр эсвэл гишүүн интерфэйсүүд дээр явагдаж болох бөгөөд аль нь идэвхтэй байх нь тогтмол шинж биш, тохиргооны сонголт юм. Зочны гадна гипервизор нь тухайн виртуал адаптер өөрт нь хамаарахгүй эх MAC-тай кадр илгээж болох эсэхийг шийддэг. Эдгээр цэгүүдийн аль нэгэнд унах нь хэрэглэгчийн талаас ижил харагдана.

Мөрдөн шалгахаас өмнө төлөвлөсөн замыг бичээрэй: туннелийн гишүүн, гүүр, LAN гишүүн, виртуал шилжүүлэгч, очих газар. Дараа нь тэр зам дээр аль эзэмшигч кадрыг харсан бол гэж асуугаарай.

Аль pfSense удирдлага шүүж байна

pfSense үүнд зориулж хоёр sysctl баримтжуулдаг, нэг нь гүүрийн гишүүд дээр шүүх, нөгөө нь гүүр дээр өөрөө шүүх зориулалттай бөгөөд тэдгээрийн дор хаяж нэг нь асаалттай үлдэх ёстой. Гүүрийн түвшний шүүлт нь гүүрийн гишүүдээр ирж буй урсгалд хамаарах тул чиглэлийн хувьд орж ирэх бөгөөд тэгш хэмтэй биш. Бодитоор шүүж буй интерфэйс дээрх дүрмүүдийг уншаарай, учир нь шүүлтийн үүрэггүй гишүүнд тавьсан дүрэм юу ч хийдэггүй. Гүүрийн шүүлтийн баримт бичиг эзэмшлийг тайлбарладаг.

IP хаяггүй гишүүн интерфэйс өөрийн хаяг эсвэл дэд сүлжээний макротай байдаггүй тул тэр макрогийн эсрэг бичсэн дүрэм таны төлөвлөсөн LAN-аас өөр зүйлийг дүрсэлж болно. Тав тухын макрогийн оронд зориуд хуваарилсан сүлжээний объектуудыг ашиглаарай.

Фрагмент бол кадр биш

Ethernet кадрууд IP пакетуудыг зөөдөг, IP пакет нь илүү том датаграмын фрагмент байж болно, тиймээс эдгээр хоёр үг солигддоггүй. Туннелийн дотор дотоод пакет, гадна нь гадаад тээврийн пакет байдаг бөгөөд алдаа нь аль ч хэсэгт хамаарч болно. Бяцхан ping тэр стекийн нэг замыг шалгадаг бөгөөд том дамжуулалтын талаар юу ч нотолдоггүй. Амжилтгүй солилцоог хөрш хоёр хилийн дээр харьцуулаарай ба дүрмийг буруутгахаас өмнө уналтын шалтгааныг уншаарай.

Хэрэв фрагментүүд алга болбол хариулт нь хязгаарлагдмал засвар эсвэл пакетийн хэмжээг шалгах явдал бөгөөд шүүлтийг бүрэн унтраах шийдвэр биш.

Гипервизор өөрийн элсэлтийн шийдвэртэй

Бусад машинд зориулж урсгалыг гүүрлэдэг зочин нь эх MAC хаяг нь өөрийн адаптерт хамаарахгүй кадруудыг илгээдэг бөгөөд олон виртуал шилжүүлэгч портын бүлэг зөвшөөрөхгүй бол үүнийг хуурамчлал гэж үздэг. Тэр дамжуулалтыг зөвшөөрөх ба адаптерт бүх кадрыг хүлээн авахыг зөвшөөрөх нь тусдаа удирдлагууд бөгөөд хоёуланг нь хаа сайгүй асаах нь асуудлын шаардлагаас хамаагүй том өөрчлөлт юм. Гүүр ямар кадруудыг хүлээн авч, ямар кадруудыг илгээх ёстойг тодорхойлж, дараа нь зөвхөн тэр зан төлөвийг түүнд эзэмшлийн хил дээр олгоорой. Алсаас удирддаг гүүрийг өөрчлөхийн өмнө консолын хандалтыг хадгалаарай.

Холболтыг сэргээх нь шалгалтын хагас; нөгөө хагас нь блоклогдсон хэвээр байх ёстой урсгал одоо ч блоклогдсон гэдгийг батлах явдал.

Аль эзэмшигч шүүсэн, аль удирдлага өөрчлөгдсөн, аль хоёр урсгалыг шалгаснаа бичээрэй. Тэр бүртгэл дараагийн тохиолдлыг pfSense өөрийгөө үл тоомсорлодог гэсэн ижил таамаглалаар эхлэхээс сэргийлнэ.