Virtuálny most TAP v pfSense: tri miesta, kde môže rámec zomrieť

Vypnete pravidlo na rozhraní LAN, rámec napriek tomu zmizne, a záver je, že pfSense ignoruje svoj vlastný firewall. Zvyčajne sa stalo to, že rozhodol iný vlastník: samotný most, členské rozhranie alebo virtuálny prepínač mimo hosťa. Každý má svoje ovládanie a svoj záznam.

Tri hranice nižšie stojí za to oddeliť pred zmenou nastavenia, pretože vypnutie jednej nemôže nahradiť druhú.

Jeden rámec, traja vlastníci politiky

Rámec od klienta TAP vstupuje cez tunelové zariadenie, prechádza mostom pfSense, vychádza cez člena LAN a potom prejde virtuálnym prepínačom, skôr než sa niekam dostane. Vnútri hosťa môže filtrovanie prebiehať na moste alebo na členských rozhraniach, a to, ktoré je aktívne, je voľba konfigurácie, nie pevná vlastnosť. Mimo hosťa hypervízor rozhoduje, či tento virtuálny adaptér smie vysielať rámce so zdrojovou MAC, ktorú nevlastní. Zahodenie v ktoromkoľvek z týchto bodov vyzerá z pohľadu klienta rovnako.

Pred vyšetrovaním si zapíšte zamýšľanú cestu: tunelový člen, most, člen LAN, virtuálny prepínač, cieľ. Potom sa pýtajte, ktorý vlastník na tejto ceste by rámec videl.

Ktoré ovládanie pfSense filtruje

pfSense dokumentuje na to dva sysctly, jeden na filtrovanie na členoch mosta a jeden na filtrovanie na samotnom moste, a aspoň jeden z nich musí zostať zapnutý. Filtrovanie na úrovni mosta sa týka prevádzky prichádzajúcej cez členov mosta, takže je orientáciou vstupné, nie symetrické. Čítajte pravidlá na rozhraní, ktoré skutočne filtruje, pretože pravidlo nastavené na členovi bez roly filtrovania nerobí vôbec nič. Dokumentácia filtrovania mosta vysvetľuje vlastníctvo.

Členské rozhranie bez IP adresy nemá vlastné makro adresy ani podsiete, takže pravidlo napísané proti tomuto makru môže opisovať niečo iné ako zamýšľanú LAN. Používajte zámerne priradené sieťové objekty namiesto pohodlných makier.

Fragment nie je rámec

Rámce Ethernet prenášajú IP pakety a IP paket môže byť fragmentom väčšieho datagramu, takže tieto dve slová nie sú zameniteľné. Vnútri tunela je aj vnútorný paket a mimo neho vonkajší transportný paket, a porucha môže patriť ktorémukoľvek z nich. Malý ping vyskúša jednu cestu cez tento zásobník a nič nedokazuje o veľkom prenose. Porovnajte neúspešnú výmenu na dvoch susedných hraniciach a prečítajte si dôvod zahodenia, skôr než obviníte pravidlo.

Ak fragmenty miznú, odpoveďou je obmedzená oprava alebo vyšetrovanie veľkosti paketu, nie rozhodnutie úplne vypnúť filtrovanie.

Hypervízor má vlastné rozhodnutie o prijatí

Hosť, ktorý mostuje prevádzku pre iné stroje, vysiela rámce, ktorých zdrojové MAC adresy nie sú jeho vlastného adaptéra, a mnohé virtuálne prepínače to považujú za podvrh, ak to skupina portov nedovolí. Povoliť tento prenos a povoliť adaptéru prijímať každý rámec sú oddelené ovládania a zapnutie oboch všade je oveľa väčšia zmena, než problém vyžaduje. Určite, ktoré rámce musí most prijímať a musí vysielať, a potom udeľte iba toto správanie na hranici, ktorá ho vlastní. Pred zmenou vzdialene spravovaného mosta si ponechajte prístup ku konzole.

Obnovenie konektivity je polovica testu; druhá polovica je potvrdenie, že tok, ktorý má zostať zablokovaný, stále zablokovaný je.

Zaznamenajte, ktorý vlastník filtroval, ktoré ovládanie sa zmenilo a ktoré dva toky ste overili. Tento záznam zabráni tomu, aby ďalší incident začal rovnakým predpokladom, že pfSense ignoruje sám seba.