Navidezni most TAP v pfSense: tri mesta, kjer lahko okvir umre

Izklopite pravilo na vmesniku LAN, okvir vseeno izgine, in sklep je, da pfSense ignorira svoj lastni požarni zid. Običajno se je zgodilo, da je odločitev sprejel drug lastnik: sam most, članski vmesnik ali navidezno stikalo zunaj gosta. Vsak ima svoj nadzor in svoj dnevnik.

Tri spodnje meje je vredno ločiti, preden spremenite nastavitev, ker izklop ene ne more nadomestiti druge.

En okvir, trije lastniki politike

Okvir od odjemalca TAP vstopi skozi tunelsko napravo, prečka most pfSense, izstopi skozi člana LAN in nato gre skozi navidezno stikalo, preden doseže karkoli. Znotraj gosta lahko filtriranje poteka na mostu ali na članskih vmesnikih, in kateri je aktiven, je izbira konfiguracije in ne stalna lastnost. Zunaj gosta hipervizor odloči, ali sme ta navidezni adapter pošiljati okvire z izvornim MAC, ki mu ne pripada. Zavrženje na kateri koli od teh točk je s strani odjemalca videti enako.

Pred preiskavo zapišite predvideno pot: član tunela, most, član LAN, navidezno stikalo, cilj. Nato vprašajte, kateri lastnik na tej poti bi okvir videl.

Kateri nadzor pfSense filtrira

pfSense za to dokumentira dva sysctl, enega za filtriranje na članih mostu in enega za filtriranje na samem mostu, in vsaj eden od njiju mora ostati vklopljen. Filtriranje na ravni mostu velja za promet, ki prihaja skozi člane mostu, zato je po usmeritvi vhodno in ne simetrično. Preberite pravila na vmesniku, ki dejansko filtrira, ker pravilo na članu brez vloge filtriranja ne naredi čisto nič. Dokumentacija o filtriranju mostu pojasnjuje lastništvo.

Članski vmesnik brez naslova IP nima lastnega makra naslova ali podomrežja, zato lahko pravilo, napisano proti temu makru, opisuje nekaj drugega kot predvideni LAN. Uporabite namerno dodeljene omrežne objekte namesto makrov za udobje.

Fragment ni okvir

Okviri Ethernet prenašajo pakete IP, paket IP pa je lahko fragment večjega datagrama, zato ti dve besedi nista zamenljivi. Znotraj tunela je tudi notranji paket, zunaj njega pa zunanji transportni paket, in napaka lahko pripada kateremu koli. Majhen ping preizkusi eno pot skozi ta sklad in ne dokaže ničesar o velikem prenosu. Primerjajte neuspelo izmenjavo na dveh sosednjih mejah in preberite razlog zavrženja, preden obtožite pravilo.

Če fragmenti izginejo, je odgovor omejen popravek ali preiskava velikosti paketa, ne pa odločitev, da filtriranje popolnoma izklopite.

Hipervizor ima svojo odločitev o sprejemu

Gost, ki mosti promet za druge stroje, oddaja okvire, katerih izvorni naslovi MAC niso njegovega lastnega adapterja, in mnoga navidezna stikala to obravnavajo kot ponarejanje, razen če skupina vrat to dovoli. Dovoliti to pošiljanje in dovoliti adapterju sprejem vsakega okvira sta ločena nadzora, in vklop obeh povsod je veliko večja sprememba, kot zahteva problem. Ugotovite, katere okvire mora most sprejeti in katere oddati, nato pa na meji, ki jih ima v lasti, dovolite samo to vedenje. Ohranite dostop do konzole, preden spremenite na daljavo upravljani most.

Vzpostavitev povezljivosti je polovica preizkusa; druga polovica je potrditev, da je tok, ki bi moral ostati blokiran, še vedno blokiran.

Zapišite, kateri lastnik je filtriral, kateri nadzor se je spremenil in katera dva toka ste preverili. Ta zapis prepreči, da bi se naslednji incident začel z isto domnevo, da pfSense ignorira samega sebe.