Virtuelni pfSense TAP most: tri mjesta na kojima okvir može umrijeti

Isključite pravilo na LAN interfejsu, okvir ipak nestane, i zaključak je da pfSense ignoriše sopstveni firewall. Obično se dogodilo da je odluku donio drugi vlasnik: sam most, članski interfejs ili virtuelni prekidač izvan gosta. Svaki ima svoju kontrolu i svoj dnevnik.

Tri granice ispod vrijedi razdvojiti prije nego promijenite postavku, jer isključivanje jedne ne može nadoknaditi drugu.

Jedan okvir, tri vlasnika politike

Okvir od TAP klijenta ulazi kroz tunelski uređaj, prelazi pfSense most, izlazi kroz LAN član i zatim prolazi virtuelni prekidač prije nego što stigne bilo gdje. Unutar gosta filtriranje može biti na mostu ili na članskim interfejsima, a koje je aktivno je izbor konfiguracije, a ne fiksno svojstvo. Izvan gosta hipervizor odlučuje smije li taj virtuelni adapter prenositi okvire s izvornim MAC-om koji ne posjeduje. Odbacivanje na bilo kojoj od tih tačaka izgleda identično sa strane klijenta.

Zapišite predviđenu putanju prije istraživanja: tunelski član, most, LAN član, virtuelni prekidač, odredište. Zatim pitajte koji bi vlasnik na toj putanji vidio okvir.

Koja pfSense kontrola filtrira

pfSense dokumentuje dva sysctl-a za to, jedan za filtriranje na članovima mosta i jedan za filtriranje na samom mostu, i barem jedan od njih mora ostati uključen. Filtriranje na nivou mosta odnosi se na saobraćaj koji dolazi kroz članove mosta, pa je po orijentaciji ulazno, a ne simetrično. Čitajte pravila na interfejsu koji zaista filtrira, jer pravilo postavljeno na članu bez uloge filtriranja ne radi ništa. Dokumentacija o filtriranju mosta objašnjava vlasništvo.

Članski interfejs bez IP adrese nema vlastiti makro adrese ili podmreže, pa pravilo napisano prema tom makrou može opisivati nešto drugo od LAN-a koji ste mislili. Koristite namjerno dodijeljene mrežne objekte umjesto makroa za udobnost.

Fragment nije okvir

Ethernet okviri nose IP pakete, a IP paket može biti fragment veće datagrame, pa te dvije riječi nisu zamjenjive. Postoji i unutrašnji paket unutar tunela i vanjski transportni paket izvan njega, a kvar može pripadati bilo kojem. Mali ping ispituje jednu putanju kroz taj stek i ništa ne dokazuje o velikom prijenosu. Uporedite neuspjelu razmjenu na dvije susjedne granice i pročitajte razlog odbacivanja prije nego okrivite pravilo.

Ako fragmenti nestanu, odgovor je ograničena korekcija ili istraživanje veličine paketa, a ne odluka da se filtriranje potpuno isključi.

Hipervizor ima vlastitu odluku o propuštanju

Gost koji mostovno prenosi saobraćaj za druge mašine emituje okvire čije izvorne MAC adrese nisu njegovog adaptera, i mnogi virtuelni prekidači to tretiraju kao lažno predstavljanje osim ako port grupa to dozvoljava. Dopuštanje tog prijenosa i dopuštanje adapteru da prima svaki okvir su odvojene kontrole, a uključivanje obje svuda je mnogo veća promjena nego što problem zahtijeva. Utvrdite koje okvire most mora primati i mora emitovati, pa dodijelite samo to ponašanje na granici koja ga posjeduje. Zadržite pristup konzoli prije promjene mosta kojim se upravlja daljinski.

Vraćanje povezanosti je pola testa; druga polovina je potvrda da tok koji treba ostati blokiran još jeste blokiran.

Zabilježite koji je vlasnik filtrirao, koja kontrola je promijenjena i koja dva toka ste provjerili. Taj zapis sprječava da sljedeći incident počne s istom pretpostavkom da pfSense ignoriše sam sebe.