Виртуелни pfSense TAP мост: три места на којима кадар може да умре

Искључите правило на LAN интерфејсу, кадар ипак нестаје, а закључак је да pfSense игнорише сопствени заштитни зид. Обично се догодило да је одлуку донео други власник: сам мост, члански интерфејс или виртуелни прекидач изван госта. Сваки има своју контролу и свој дневник.

Три границе испод вреди раздвојити пре промене подешавања, јер искључивање једне не може надокнадити другу.

Један кадар, три власника политике

Кадар од TAP клијента улази кроз тунелски уређај, прелази pfSense мост, излази кроз LAN члана и затим пролази кроз виртуелни прекидач пре него што стигне до било чега. Унутар госта филтрирање може да се деси на мосту или на чланским интерфејсима, а који је активан је избор конфигурације, а не фиксно својство. Изван госта хипервизор одлучује да ли тај виртуелни адаптер сме да шаље кадрове са изворним MAC-ом који му не припада. Одбацивање на било којој од тих тачака изгледа исто са стране клијента.

Запишите предвиђену путању пре истраге: члан тунела, мост, LAN члан, виртуелни прекидач, одредиште. Затим питајте који би власник на тој путањи видео кадар.

Која pfSense контрола филтрира

pfSense документује два sysctl за ово, један за филтрирање на члановима моста и један за филтрирање на самом мосту, и бар један од њих мора да остане укључен. Филтрирање на нивоу моста односи се на саобраћај који долази кроз чланове моста, па је по оријентацији улазно, а не симетрично. Читајте правила на интерфејсу који заиста филтрира, јер правило постављено на члану без улоге филтрирања не ради ништа. Документација о филтрирању моста објашњава власништво.

Члански интерфејс без IP адресе нема сопствени макро адресе или подмреже, па правило написано против тог макроа може да опише нешто друго од предвиђене LAN. Користите намерно додељене мрежне објекте уместо макроа за удобност.

Фрагмент није кадар

Ethernet кадрови преносе IP пакете, а IP пакет може бити фрагмент веће датаграме, па те две речи нису заменљиве. Унутар тунела постоји и унутрашњи пакет, а изван њега спољни транспортни пакет, и отказ може припадати било ком. Мали ping проверава једну путању кроз тај стек и ништа не доказује о великом преносу. Упоредите неуспелу размену на две суседне границе и прочитајте разлог одбацивања пре него што оптужите правило.

Ако фрагменти нестану, одговор је ограничена исправка или истрага величине пакета, а не одлука да се филтрирање потпуно искључи.

Хипервизор има сопствену одлуку о пријему

Гост који мости саобраћај за друге машине емитује кадрове чије изворне MAC адресе нису његовог сопственог адаптера, и многи виртуелни прекидачи то третирају као лажно представљање осим ако портна група то дозвољава. Дозволити тај пренос и дозволити адаптеру да прима сваки кадар су одвојене контроле, а укључивање обе свуда је много већа промена него што проблем захтева. Утврдите које кадрове мост мора да прима и мора да емитује, а затим доделите само то понашање на граници која га поседује. Задржите приступ конзоли пре промене моста којим се управља даљински.

Поновно успостављање повезаности је половина теста; друга половина је потврда да је ток који треба да остане блокиран још увек блокиран.

Запишите који је власник филтрирао, која контрола је промењена и која два тока сте проверили. Тај запис спречава следећи инцидент да почне са истом претпоставком да pfSense игнорише сам себе.