व्हर्च्युअल pfSense TAP ब्रिज: फ्रेम मरू शकतो अशा तीन जागा

तुम्ही LAN इंटरफेसवरील नियम बंद करता, फ्रेम तरीही अदृश्य होते, आणि निष्कर्ष असा येतो की pfSense स्वतःच्या फायरवॉलकडे दुर्लक्ष करत आहे। सामान्यतः जे घडले ते म्हणजे दुसऱ्या मालकाने निर्णय घेतला: ब्रिज स्वतः, सदस्य इंटरफेस, किंवा गेस्टच्या बाहेरचा व्हर्च्युअल स्विच। प्रत्येकाकडे स्वतःचे नियंत्रण आणि स्वतःचा लॉग आहे।

खालील तीन सीमा कोणतेही सेटिंग बदलण्यापूर्वी वेगळ्या करणे योग्य आहे, कारण एक बंद केल्याने दुसऱ्याची भरपाई होऊ शकत नाही।

एक फ्रेम, तीन धोरण-मालक

TAP क्लायंटची फ्रेम टनेल उपकरणातून प्रवेश करते, pfSense ब्रिज ओलांडते, LAN सदस्यातून बाहेर पडते, आणि नंतर काहीही गाठण्यापूर्वी व्हर्च्युअल स्विचमधून जाते। गेस्टच्या आत फिल्टरिंग ब्रिजवर किंवा सदस्य इंटरफेसवर होऊ शकते, आणि कोणते सक्रिय आहे हे स्थिर गुणधर्म नसून कॉन्फिगरेशनची निवड आहे। गेस्टच्या बाहेर हायपरवायझर ठरवतो की त्या व्हर्च्युअल अडॅप्टरला स्वतःचा नसलेला स्रोत MAC असलेल्या फ्रेम पाठवण्याची परवानगी आहे का। त्या कोणत्याही बिंदूवरील ड्रॉप क्लायंटच्या दृष्टिकोनातून सारखाच दिसतो।

तपासणीपूर्वी इच्छित मार्ग लिहून ठेवा: टनेल सदस्य, ब्रिज, LAN सदस्य, व्हर्च्युअल स्विच, गंतव्य। मग त्या मार्गावर कोणत्या मालकाने फ्रेम पाहिली असती असे विचारा।

कोणते pfSense नियंत्रण फिल्टर करत आहे

pfSense यासाठी दोन sysctl नोंदवते, एक ब्रिज सदस्यांवर फिल्टरिंगसाठी आणि एक ब्रिजवरच फिल्टरिंगसाठी, आणि त्यापैकी किमान एक सक्रिय राहिले पाहिजे। ब्रिज-स्तरीय फिल्टरिंग ब्रिज सदस्यांमधून येणाऱ्या रहदारीवर लागू होते, म्हणून ते दिशेने आवक आहे, सममित नाही। प्रत्यक्षात फिल्टर करणाऱ्या इंटरफेसवरील नियम वाचा, कारण फिल्टर भूमिका नसलेल्या सदस्यावर ठेवलेला नियम काहीही करत नाही। ब्रिज फिल्टरिंगचे दस्तऐवज मालकी स्पष्ट करते।

IP पत्ता नसलेल्या सदस्य इंटरफेसकडे स्वतःचे पत्ता किंवा सबनेट मॅक्रो नसते, म्हणून त्या मॅक्रोविरुद्ध लिहिलेला नियम तुम्ही इच्छित असलेल्या LAN व्यतिरिक्त काहीतरी वर्णन करू शकतो। सोयीच्या मॅक्रोऐवजी जाणीवपूर्वक नेमून दिलेल्या नेटवर्क ऑब्जेक्ट वापरा।

फ्रॅगमेंट फ्रेम नाही

इथरनेट फ्रेम IP पॅकेट वाहतात, आणि IP पॅकेट मोठ्या डेटाग्रामचा फ्रॅगमेंट असू शकतो, म्हणून हे दोन शब्द एकमेकांच्या जागी वापरता येत नाहीत। टनेलच्या आत आंतरिक पॅकेट आणि त्याच्या बाहेर बाह्य वाहतूक पॅकेटही असते, आणि अपयश यापैकी कोणत्याहीचे असू शकते। लहान ping त्या स्टॅकमधून एक मार्ग तपासतो आणि मोठ्या हस्तांतरणाबद्दल काहीही सिद्ध करत नाही। दोन लगतच्या सीमांवर अपयशी देवाणघेवाणीची तुलना करा आणि नियमाला दोष देण्यापूर्वी ड्रॉपचे कारण वाचा।

फ्रॅगमेंट अदृश्य झाले तर उत्तर मर्यादित दुरुस्ती किंवा पॅकेट आकाराची चौकशी आहे, फिल्टरिंग पूर्णपणे बंद करण्याचा निर्णय नाही।

हायपरवायझरचा स्वतःचा प्रवेश-निर्णय आहे

इतर मशीनसाठी रहदारी ब्रिज करणारा गेस्ट अशा फ्रेम उत्सर्जित करतो ज्यांचे स्रोत MAC पत्ते त्याच्या स्वतःच्या अडॅप्टरचे नाहीत, आणि पोर्ट गट परवानगी देत नसेल तर अनेक व्हर्च्युअल स्विच त्याला स्पूफिंग मानतात। त्या प्रक्षेपणास परवानगी देणे आणि अडॅप्टरला प्रत्येक फ्रेम प्राप्त करण्यास परवानगी देणे वेगवेगळी नियंत्रणे आहेत, आणि दोन्ही सर्वत्र सक्षम करणे समस्येच्या गरजेपेक्षा खूप मोठा बदल आहे। ब्रिजला कोणत्या फ्रेम प्राप्त करायच्या आणि कोणत्या उत्सर्जित करायच्या ते ठरवा, नंतर ते वर्तन केवळ त्याच्या मालकीच्या सीमेवर द्या। दूरून व्यवस्थापित ब्रिज बदलण्यापूर्वी कन्सोल प्रवेश ठेवा।

कनेक्टिव्हिटी पुनर्संचयित करणे चाचणीचा अर्धा भाग आहे; उरलेला अर्धा भाग म्हणजे अडवलेले राहिले पाहिजे असलेला प्रवाह अजूनही अडवलेला आहे याची खात्री करणे।

कोणत्या मालकाने फिल्टर केले, कोणते नियंत्रण बदलले आणि कोणते दोन प्रवाह तुम्ही पडताळले ते नोंदवा। ती नोंद पुढील घटनेला pfSense स्वतःकडे दुर्लक्ष करत आहे या त्याच गृहीतकाने सुरू होण्यापासून थांबवते।