Pont TAP virtwali ta' pfSense: tliet postijiet fejn qafas jista' jmut

Tiddiżattiva regola fuq l-interface LAN, il-qafas xorta jisparixxi, u l-konklużjoni hija li pfSense qed jinjora l-firewall tiegħu stess. Dak li ġeneralment ġara huwa li proprjetarju differenti ħa d-deċiżjoni: il-pont innifsu, l-interface membru, jew l-iswiċċ virtwali barra l-mistieden. Kull wieħed għandu l-kontroll tiegħu u l-log tiegħu.

It-tliet fruntieri hawn taħt jixirqilhom jiġu separati qabel ma tbiddel setting, għax l-iżattivar ta' waħda ma jistax ipatti għall-oħra.

Qafas wieħed, tliet proprjetarji tal-politika

Qafas minn klijent TAP jidħol mill-apparat tat-tunnel, jaqsam il-pont pfSense, joħroġ minn membru LAN, u mbagħad jgħaddi minn swiċċ virtwali qabel ma jasal għal xi ħaġa. Ġewwa l-mistieden, il-filtrazzjoni tista' sseħħ fuq il-pont jew fuq l-interfaces membri, u liema waħda hija attiva hija għażla ta' konfigurazzjoni, mhux proprjetà fissa. Barra l-mistieden, il-hypervisor jiddeċiedi jekk dak l-adapter virtwali jistax jibgħat qafas b'MAC sors li mhuwiex tiegħu. Tnaqqis f'xi wieħed minn dawk il-punti jidher identiku mill-klijent.

Ikteb il-passaġġ maħsub qabel ma tinvestiga: membru tat-tunnel, pont, membru LAN, swiċċ virtwali, destinazzjoni. Imbagħad staqsi liema proprjetarju fuq dak il-passaġġ kien jara l-qafas.

Liema kontroll ta' pfSense qed jiffiltra

pfSense jiddokumenta żewġ sysctl għal dan, wieħed għall-filtrazzjoni fuq il-membri tal-pont u wieħed għall-filtrazzjoni fuq il-pont innifsu, u mill-inqas wieħed minnhom irid jibqa' attivat. Il-filtrazzjoni fil-livell tal-pont tapplika għat-traffiku li jasal mill-membri tal-pont, għalhekk hija deħla fl-orjentazzjoni u mhix simmetrika. Aqra r-regoli fuq l-interface li fil-fatt tiffiltra, għax regola mqiegħda fuq membru mingħajr rwol ta' filtrazzjoni ma tagħmel xejn. Id-dokumentazzjoni tal-filtrazzjoni tal-pont tispjega s-sjieda.

Interface membru mingħajr indirizz IP m'għandhiex makro tal-indirizz jew tas-subnet tagħha, għalhekk regola miktuba kontra dak il-makro tista' tiddeskrivi xi ħaġa oħra milli l-LAN li kelli f'moħħok. Uża oġġetti tan-netwerk assenjati b'mod deliberat minflok makros ta' kumdità.

Framment mhuwiex qafas

Il-qafas Ethernet iġorru pakketti IP, u pakkett IP jista' jkun framment ta' datagram akbar, għalhekk iż-żewġ kelmiet mhumiex interkambjabbli. Hemm ukoll pakkett intern ġewwa t-tunnel u pakkett tat-trasport estern barra minnu, u ħsara tista' tkun ta' xi wieħed minnhom. Ping żgħir jeżerċita passaġġ wieħed minn dak il-munzell u ma jipprova xejn dwar trasferiment kbir. Qabbel l-iskambju li jfalli fuq żewġ fruntieri li jmissu ma' xulxin u aqra r-raġuni tat-tnaqqis qabel ma tagħti tort lil regola.

Jekk il-frammenti jisparixxu, it-tweġiba hija korrezzjoni limitata jew investigazzjoni tad-daqs tal-pakkett, mhux deċiżjoni li tiddiżattiva l-filtrazzjoni għal kollox.

Il-hypervisor għandu d-deċiżjoni tal-ammissjoni tiegħu

Mistieden li jagħmel pont tat-traffiku għal magni oħra joħroġ qafas li l-indirizzi MAC sors tagħhom mhumiex tal-adapter tiegħu stess, u ħafna swiċċijiet virtwali jqisu dan bħala falsifikazzjoni sakemm il-grupp tal-port ma jippermettix dan. Li tippermetti dak it-trażmissjoni u li tippermetti lill-adapter jirċievi kull qafas huma kontrolli separati, u li tattiva t-tnejn kullimkien huwa bidla ferm akbar milli teħtieġ il-problema. Iddetermina liema qafas il-pont irid jirċievi u irid joħroġ, imbagħad agħti biss dik l-imġiba fil-fruntiera li tipposjediha. Żomm aċċess għall-konsol qabel ma tbiddel pont immaniġġjat mill-bogħod.

Li terġa' tistabbilixxi l-konnettività hija nofs it-test; in-nofs l-ieħor huwa li tikkonferma li fluss li għandu jibqa' mblukkat għadu hekk.

Irreġistra liema proprjetarju ffiltrja, liema kontroll inbidel u liema żewġ flussi vverifikajt. Dik ir-reġistrazzjoni twaqqaf l-inċident li jmiss milli jibda bl-istess suppożizzjoni li pfSense qed jinjora lilu nnifsu.