Jambatan TAP pfSense maya: tiga tempat bingkai boleh mati

Anda menyahaktifkan peraturan pada antara muka LAN, bingkai masih hilang, dan kesimpulannya ialah pfSense mengabaikan firewallnya sendiri. Apa yang biasanya berlaku ialah pemilik lain membuat keputusan: jambatan itu sendiri, antara muka ahli, atau suis maya di luar tetamu. Setiap satu mempunyai kawalan dan log sendiri.

Tiga sempadan di bawah wajar dipisahkan sebelum anda menukar tetapan, kerana menyahaktifkan satu tidak boleh menampung yang lain.

Satu bingkai, tiga pemilik dasar

Bingkai daripada klien TAP masuk melalui peranti terowong, melintasi jambatan pfSense, keluar melalui ahli LAN, dan kemudian melalui suis maya sebelum ia sampai ke apa-apa. Di dalam tetamu, penapisan boleh berlaku pada jambatan atau pada antara muka ahli, dan yang mana aktif ialah pilihan konfigurasi, bukan sifat tetap. Di luar tetamu, hypervisor memutuskan sama ada penyesuai maya itu boleh menghantar bingkai dengan MAC sumber yang bukan miliknya. Kejatuhan pada mana-mana titik itu kelihatan sama dari sisi klien.

Tulis laluan yang dimaksudkan sebelum menyiasat: ahli terowong, jambatan, ahli LAN, suis maya, destinasi. Kemudian tanya pemilik mana pada laluan itu yang akan melihat bingkai tersebut.

Kawalan pfSense mana yang menapis

pfSense mendokumenkan dua sysctl untuk ini, satu untuk penapisan pada ahli jambatan dan satu untuk penapisan pada jambatan itu sendiri, dan sekurang-kurangnya satu daripadanya mesti kekal diaktifkan. Penapisan peringkat jambatan terpakai kepada trafik yang tiba melalui ahli jambatan, jadi ia masuk dari segi orientasi dan bukan simetri. Baca peraturan pada antara muka yang benar-benar menapis, kerana peraturan pada ahli tanpa peranan penapisan tidak melakukan apa-apa. Dokumentasi penapisan jambatan menjelaskan pemilikan itu.

Antara muka ahli tanpa alamat IP tidak mempunyai makro alamat atau subnet sendiri, jadi peraturan yang ditulis terhadap makro itu boleh menerangkan sesuatu yang lain daripada LAN yang anda maksudkan. Gunakan objek rangkaian yang diberikan dengan sengaja dan bukannya makro kemudahan.

Serpihan bukan bingkai

Bingkai Ethernet membawa paket IP, dan paket IP boleh menjadi serpihan datagram yang lebih besar, jadi kedua-dua perkataan itu tidak boleh ditukar ganti. Terdapat juga paket dalaman di dalam terowong dan paket pengangkutan luaran di luarnya, dan kegagalan boleh menjadi milik mana-mana satu. Ping kecil menguji satu laluan melalui tindanan itu dan tidak membuktikan apa-apa tentang pemindahan besar. Bandingkan pertukaran yang gagal pada dua sempadan bersebelahan dan baca sebab kejatuhan sebelum menyalahkan peraturan.

Jika serpihan hilang, jawapannya ialah pembetulan terbatas atau siasatan saiz paket, bukan keputusan menyahaktifkan penapisan sepenuhnya.

Hypervisor mempunyai keputusan kemasukan sendiri

Tetamu yang menjambatani trafik untuk mesin lain memancarkan bingkai yang alamat MAC sumbernya bukan milik penyesuainya sendiri, dan banyak suis maya menganggapnya sebagai pemalsuan melainkan kumpulan port membenarkannya. Membenarkan penghantaran itu dan membenarkan penyesuai menerima setiap bingkai ialah kawalan berasingan, dan mengaktifkan kedua-duanya di mana-mana ialah perubahan yang jauh lebih besar daripada yang diperlukan oleh masalah. Tentukan bingkai mana yang perlu diterima dan perlu dipancarkan oleh jambatan, kemudian berikan hanya tingkah laku itu pada sempadan yang memilikinya. Kekalkan akses konsol sebelum menukar jambatan yang diurus dari jauh.

Memulihkan sambungan ialah separuh ujian; separuh lagi ialah mengesahkan bahawa aliran yang sepatutnya kekal disekat masih disekat.

Catat pemilik mana yang menapis, kawalan mana yang berubah dan dua aliran mana yang anda sahkan. Catatan itu menghalang insiden seterusnya daripada bermula dengan andaian yang sama bahawa pfSense mengabaikan dirinya sendiri.