भर्चुअल pfSense TAP ब्रिज: फ्रेम मर्न सक्ने तीन ठाउँ
ब्रिज, यसका सदस्यहरू र भर्चुअल स्विचले प्रत्येकले छुट्टै निर्णय गर्छन्। मार्गमा कहिल्यै नभएको नियन्त्रण बन्द गर्नुअघि कुन मालिकले फिल्टर गर्यो पत्ता लगाउनुहोस्।
तपाईं LAN इन्टरफेसमा नियम बन्द गर्नुहुन्छ, फ्रेम तैपनि हराउँछ, र निष्कर्ष यही हुन्छ कि pfSense आफ्नै फायरवाललाई बेवास्ता गर्दैछ। सामान्यतया भएको कुरा यो हो कि अर्को मालिकले निर्णय गर्यो: ब्रिज आफैं, सदस्य इन्टरफेस, वा गेस्ट बाहिरको भर्चुअल स्विच। प्रत्येकसँग आफ्नै नियन्त्रण र आफ्नै लग छ।
तलका तीन सीमाहरूलाई कुनै सेटिङ परिवर्तन गर्नुअघि छुट्याउनु उपयुक्त हुन्छ, किनकि एउटा बन्द गर्दा अर्कोको क्षतिपूर्ति हुन सक्दैन।
एउटा फ्रेम, तीन नीति-मालिक
TAP क्लाइन्टको फ्रेम टनेल उपकरणबाट प्रवेश गर्छ, pfSense ब्रिज पार गर्छ, LAN सदस्यबाट बाहिरिन्छ, र त्यसपछि केही पनि पुग्नुअघि भर्चुअल स्विच हुँदै जान्छ। गेस्ट भित्र फिल्टरिङ ब्रिजमा वा सदस्य इन्टरफेसमा हुन सक्छ, र कुन सक्रिय छ भन्ने स्थिर गुण होइन, कन्फिगरेसनको रोजाइ हो। गेस्ट बाहिर हाइपरभाइजरले त्यो भर्चुअल एडाप्टरले आफ्नो नभएको स्रोत MAC भएका फ्रेम पठाउन सक्छ कि सक्दैन भन्ने निर्णय गर्छ। तीमध्ये कुनै पनि बिन्दुमा ड्रप क्लाइन्टको दृष्टिले उस्तै देखिन्छ।
अनुसन्धान गर्नुअघि अभिप्रेत मार्ग लेख्नुहोस्: टनेल सदस्य, ब्रिज, LAN सदस्य, भर्चुअल स्विच, गन्तव्य। त्यसपछि त्यो मार्गमा कुन मालिकले फ्रेम देख्थ्यो भनी सोध्नुहोस्।
कुन pfSense नियन्त्रणले फिल्टर गर्दैछ
pfSense यसका लागि दुई sysctl दस्तावेज गर्छ, एउटा ब्रिज सदस्यहरूमा फिल्टरिङका लागि र एउटा ब्रिजमै फिल्टरिङका लागि, र तीमध्ये कम्तीमा एउटा सक्रिय रहनुपर्छ। ब्रिज-स्तरीय फिल्टरिङ ब्रिज सदस्यहरूबाट आउने ट्राफिकमा लागू हुन्छ, त्यसैले यो दिशाका हिसाबले आगमन हो, सममित होइन। वास्तवमा फिल्टर गरिरहेको इन्टरफेसमा नियमहरू पढ्नुहोस्, किनकि फिल्टर भूमिका नभएको सदस्यमा राखिएको नियमले केही पनि गर्दैन। ब्रिज फिल्टरिङको दस्तावेज ले स्वामित्व स्पष्ट पार्छ।
IP ठेगाना नभएको सदस्य इन्टरफेससँग आफ्नै ठेगाना वा सबनेट म्याक्रो हुँदैन, त्यसैले त्यो म्याक्रोविरुद्ध लेखिएको नियमले तपाईंले चाहेको LAN बाहेक अरू केही वर्णन गर्न सक्छ। सुविधाका म्याक्रोको सट्टा जानाजान तोकिएका नेटवर्क वस्तुहरू प्रयोग गर्नुहोस्।
फ्र्याग्मेन्ट फ्रेम होइन
इथरनेट फ्रेमहरूले IP प्याकेट बोक्छन्, र IP प्याकेट ठूलो डेटाग्रामको फ्र्याग्मेन्ट हुन सक्छ, त्यसैले यी दुई शब्द एकअर्काको ठाउँमा प्रयोग हुँदैनन्। टनेलभित्र आन्तरिक प्याकेट र बाहिर बाह्य यातायात प्याकेट पनि हुन्छ, र असफलता दुवैमध्ये कुनैको हुन सक्छ। सानो ping ले त्यो स्ट्याक हुँदै एउटा मार्ग मात्र परीक्षण गर्छ र ठूलो स्थानान्तरणबारे केही पनि प्रमाणित गर्दैन। दुई छेउछाउका सीमामा असफल भएको आदानप्रदान तुलना गर्नुहोस् र नियमलाई दोष दिनुअघि ड्रपको कारण पढ्नुहोस्।
फ्र्याग्मेन्टहरू हराए भने उत्तर सीमित सुधार वा प्याकेट आकारको अनुसन्धान हो, फिल्टरिङ पूर्ण रूपमा बन्द गर्ने निर्णय होइन।
हाइपरभाइजरको आफ्नै प्रवेश-निर्णय छ
अरू मेसिनका लागि ट्राफिक ब्रिज गर्ने गेस्टले आफ्नै एडाप्टरको नभएको स्रोत MAC ठेगाना भएका फ्रेम उत्सर्जन गर्छ, र पोर्ट समूहले अनुमति नदिएसम्म धेरै भर्चुअल स्विचले यसलाई स्पुफिङ मान्छन्। त्यो प्रसारणलाई अनुमति दिनु र एडाप्टरलाई हरेक फ्रेम प्राप्त गर्न अनुमति दिनु छुट्टाछुट्टै नियन्त्रण हुन्, र दुवैलाई जहाँतहीँ सक्रिय गर्नु समस्याले आवश्यक ठानेभन्दा धेरै ठूलो परिवर्तन हो। ब्रिजले कुन फ्रेम प्राप्त गर्नुपर्छ र कुन उत्सर्जन गर्नुपर्छ निर्धारण गर्नुहोस्, त्यसपछि त्यो व्यवहार मात्र त्यसको स्वामित्व भएको सीमामा दिनुहोस्। टाढाबाट व्यवस्थापन गरिने ब्रिज परिवर्तन गर्नुअघि कन्सोल पहुँच राख्नुहोस्।
जडान पुनःस्थापित गर्नु परीक्षणको आधा हो; बाँकी आधा भनेको अवरुद्ध रहनुपर्ने प्रवाह अझै अवरुद्ध छ भनी पुष्टि गर्नु हो।
कुन मालिकले फिल्टर गर्यो, कुन नियन्त्रण परिवर्तन भयो र कुन दुई प्रवाह तपाईंले प्रमाणित गर्नुभयो अभिलेख गर्नुहोस्। त्यो अभिलेखले अर्को घटनालाई pfSense आफैंलाई बेवास्ता गर्दैछ भन्ने त्यही अनुमानबाट सुरु हुनबाट रोक्छ।