Daraja la TAP la pfSense: sehemu tatu ambapo fremu inaweza kufa

Unazima kanuni kwenye kiolesura cha LAN, fremu bado inatoweka, na hitimisho ni kwamba pfSense linapuuza firewall yake yenyewe. Kwa kawaida kilichotokea ni kwamba mmiliki mwingine alifanya uamuzi: daraja lenyewe, kiolesura cha mwanachama, au swichi pepe nje ya mgeni. Kila mmoja ana udhibiti wake na logi yake.

Mipaka mitatu hapa chini inafaa kutenganishwa kabla ya kubadilisha mpangilio, kwa sababu kuzima moja hakuwezi kufidia nyingine.

Fremu moja, wamiliki watatu wa sera

Fremu kutoka kwa mteja wa TAP inaingia kupitia kifaa cha handaki, inavuka daraja la pfSense, inatoka kupitia mwanachama wa LAN, kisha inapita swichi pepe kabla ya kufikia kitu chochote. Ndani ya mgeni, uchujaji unaweza kutokea kwenye daraja au kwenye violesura vya wanachama, na kipi kinachotumika ni chaguo la usanidi na si sifa isiyobadilika. Nje ya mgeni, hypervisor huamua kama adapta hiyo pepe inaweza kutuma fremu zenye MAC chanzo ambayo si yake. Kudondoshwa katika mojawapo ya sehemu hizo huonekana sawa kwa upande wa mteja.

Andika njia inayokusudiwa kabla ya kuchunguza: mwanachama wa handaki, daraja, mwanachama wa LAN, swichi pepe, lengwa. Kisha uliza mmiliki gani kwenye njia hiyo angeona fremu hiyo.

Udhibiti gani wa pfSense unachuja

pfSense huandika sysctl mbili kwa hili, moja kwa uchujaji kwenye wanachama wa daraja na moja kwa uchujaji kwenye daraja lenyewe, na angalau moja yao lazima ibaki imewashwa. Uchujaji wa ngazi ya daraja unahusu trafiki inayofika kupitia wanachama wa daraja, kwa hiyo ni wa kuingia kwa mwelekeo na si wa ulinganifu. Soma kanuni kwenye kiolesura kinachochuja kwa kweli, kwa sababu kanuni iliyowekwa kwenye mwanachama asiye na jukumu la uchujaji haifanyi chochote. Nyaraka za uchujaji wa daraja zinaeleza umiliki.

Kiolesura cha mwanachama kisicho na anwani ya IP hakina makro yake ya anwani au subnet, kwa hiyo kanuni iliyoandikwa dhidi ya makro hiyo inaweza kueleza kitu kingine isipokuwa LAN uliyokusudia. Tumia vitu vya mtandao vilivyotengwa kwa makusudi badala ya makro za urahisi.

Kipande si fremu

Fremu za Ethernet hubeba pakiti za IP, na pakiti ya IP inaweza kuwa kipande cha datagram kubwa zaidi, kwa hiyo maneno hayo mawili hayabadilishani. Pia kuna pakiti ya ndani ndani ya handaki na pakiti ya usafirishaji ya nje nje yake, na hitilafu inaweza kuwa ya yeyote. Ping ndogo hujaribu njia moja kupitia rafu hiyo na haithibitishi chochote kuhusu uhamishaji mkubwa. Linganisha ubadilishanaji unaoshindikana kwenye mipaka miwili iliyo karibu na soma sababu ya kudondoshwa kabla ya kulaumu kanuni.

Ikiwa vipande vinatoweka, jibu ni marekebisho yenye mipaka au uchunguzi wa ukubwa wa pakiti, si uamuzi wa kuzima uchujaji kabisa.

Hypervisor ina uamuzi wake wa kukubali

Mgeni anayefanya daraja la trafiki kwa mashine nyingine hutoa fremu ambazo anwani zake za MAC chanzo si za adapta yake mwenyewe, na swichi nyingi pepe huchukulia hilo kama uigaji isipokuwa kikundi cha port kiruhusu. Kuruhusu usambazaji huo na kumruhusu adapta kupokea kila fremu ni udhibiti tofauti, na kuwasha vyote viwili kila mahali ni mabadiliko makubwa zaidi kuliko yanayohitajika na tatizo. Baini fremu zipi daraja linapaswa kupokea na zipi linapaswa kutoa, kisha toa tabia hiyo pekee kwenye mpaka unaomiliki. Hifadhi ufikiaji wa konsoli kabla ya kubadilisha daraja linalosimamiwa kwa mbali.

Kurejesha muunganisho ni nusu ya jaribio; nusu nyingine ni kuthibitisha kwamba mtiririko ambao unapaswa kubaki umezuiwa bado umezuiwa.

Rekodi mmiliki gani alichuja, udhibiti gani ulibadilika na mitiririko ipi miwili uliithibitisha. Kumbukumbu hiyo huzuia tukio linalofuata kuanza na dhana ile ile kwamba pfSense linajipuuza lenyewe.