వర్చువల్ pfSense TAP వంతెన: ఫ్రేమ్ చనిపోగల మూడు స్థలాలు
వంతెన, దాని సభ్యులు మరియు వర్చువల్ స్విచ్ ఒక్కొక్కటి విడిగా నిర్ణయిస్తాయి. మార్గంలో ఎప్పుడూ లేని నియంత్రణను నిలిపివేయడానికి ముందు ఏ యజమాని ఫిల్టర్ చేసిందో కనుగొనండి.
మీరు LAN ఇంటర్ఫేస్‌లో నియమాన్ని నిలిపివేస్తారు, ఫ్రేమ్ అయినా మాయమవుతుంది, మరియు నిర్ణయం pfSense తన సొంత ఫైర్‌వాల్‌ను విస్మరిస్తోంది అని. సాధారణంగా జరిగింది ఏమిటంటే వేరే యజమాని నిర్ణయం తీసుకున్నాడు: వంతెన కూడా, సభ్య ఇంటర్ఫేస్, లేదా అతిథి వెలుపల ఉన్న వర్చువల్ స్విచ్. ఒక్కొక్కటి తన సొంత నియంత్రణ మరియు తన సొంత లాగ్‌ను కలిగి ఉంటుంది.
క్రింది మూడు సరిహద్దులను ఏదైనా సెట్టింగ్‌ను మార్చే ముందు వేరు చేయడం విలువైనది, ఎందుకంటే ఒకదాన్ని నిలిపివేయడం మరొకదాన్ని భర్తీ చేయలేదు.
ఒక ఫ్రేమ్, మూడు విధాన యజమానులు
TAP క్లయింట్ ఫ్రేమ్ టన్నెల్ పరికరం ద్వారా ప్రవేశిస్తుంది, pfSense వంతెనను దాటుతుంది, LAN సభ్యం ద్వారా బయటకు వెళ్తుంది, ఆపై ఏదైనా చేరుకునే ముందు వర్చువల్ స్విచ్ గుండా వెళ్తుంది. అతిథి లోపల ఫిల్టరింగ్ వంతెనపై లేదా సభ్య ఇంటర్ఫేస్‌లపై జరగవచ్చు, ఏది క్రియాశీలంగా ఉందో స్థిర లక్షణం కాదు, కాన్ఫిగరేషన్ ఎంపిక. అతిథి వెలుపల హైపర్‌వైజర్ నిర్ణయిస్తుంది, ఆ వర్చువల్ అడాప్టర్ తనకు సొంతం కాని మూల MAC తో ఫ్రేమ్‌లను పంపగలదా అని. ఆ ఏ బిందువు వద్ద అయినా డ్రాప్ క్లయింట్ వైపు నుండి ఒకేలా కనిపిస్తుంది.
పరిశోధనకు ముందు ఉద్దేశించిన మార్గాన్ని రాయండి: టన్నెల్ సభ్యం, వంతెన, LAN సభ్యం, వర్చువల్ స్విచ్, గమ్యం. తర్వాత ఆ మార్గంలో ఏ యజమాని ఫ్రేమ్‌ను చూసి ఉండేవాడో అడగండి.
ఏ pfSense నియంత్రణ ఫిల్టర్ చేస్తోంది
pfSense దీనికి రెండు sysctl లను నమోదు చేస్తుంది, ఒకటి వంతెన సభ్యులపై ఫిల్టరింగ్ కోసం మరియు మరొకటి వంతెనపైనే ఫిల్టరింగ్ కోసం, వాటిలో కనీసం ఒకటి సక్రియంగా ఉండాలి. వంతెన స్థాయి ఫిల్టరింగ్ వంతెన సభ్యుల ద్వారా వచ్చే ట్రాఫిక్‌కు వర్తిస్తుంది, కాబట్టి అది దిశలో లోపలికి వచ్చేది, సమరూపం కాదు. నిజంగా ఫిల్టర్ చేస్తున్న ఇంటర్ఫేస్‌లో నియమాలను చదవండి, ఎందుకంటే ఫిల్టర్ పాత్ర లేని సభ్యుడిపై పెట్టిన నియమం ఏమీ చేయదు. వంతెన ఫిల్టరింగ్ డాక్యుమెంటేషన్ యాజమాన్యాన్ని వివరిస్తుంది.
IP చిరునామా లేని సభ్య ఇంటర్ఫేస్‌కు సొంత చిరునామా లేదా సబ్‌నెట్ మాక్రో ఉండదు, కాబట్టి ఆ మాక్రోకు వ్యతిరేకంగా రాసిన నియమం మీరు ఉద్దేశించిన LAN కాకుండా వేరేదాన్ని వివరించవచ్చు. సౌలభ్య మాక్రోలకు బదులుగా ఉద్దేశపూర్వకంగా కేటాయించిన నెట్‌వర్క్ ఆబ్జెక్టులను ఉపయోగించండి.
ఫ్రాగ్మెంట్ ఫ్రేమ్ కాదు
ఈథర్‌నెట్ ఫ్రేమ్‌లు IP ప్యాకెట్‌లను మోస్తాయి, మరియు ఒక IP ప్యాకెట్ పెద్ద డేటాగ్రామ్ యొక్క ఫ్రాగ్మెంట్ కావచ్చు, కాబట్టి ఆ రెండు పదాలు పరస్పరం మార్చుకోలేవు. టన్నెల్ లోపల అంతర్గత ప్యాకెట్ మరియు దాని వెలుపల బాహ్య రవాణా ప్యాకెట్ కూడా ఉంటాయి, వైఫల్యం ఏదైనా ఒకదానికి చెందవచ్చు. చిన్న ping ఆ స్టాక్ గుండా ఒక మార్గాన్ని మాత్రమే పరీక్షిస్తుంది, పెద్ద బదిలీ గురించి ఏమీ నిరూపించదు. రెండు ప్రక్కనే ఉన్న సరిహద్దుల్లో విఫలమైన మార్పిడిని పోల్చండి మరియు నియమాన్ని నిందించే ముందు డ్రాప్ కారణాన్ని చదవండి.
ఫ్రాగ్మెంట్‌లు మాయమైతే, సమాధానం పరిమిత సవరణ లేదా ప్యాకెట్ పరిమాణ పరిశోధన, ఫిల్టరింగ్‌ను పూర్తిగా నిలిపివేయాలనే నిర్ణయం కాదు.
హైపర్‌వైజర్‌కు దాని సొంత ప్రవేశ నిర్ణయం ఉంది
ఇతర యంత్రాల కోసం ట్రాఫిక్ను వంతెన చేసే అతిథి, మూల MAC చిరునామాలు తన సొంత అడాప్టర్‌కు చెందని ఫ్రేమ్‌లను విడుదల చేస్తుంది, పోర్ట్ గ్రూప్ అనుమతించకపోతే చాలా వర్చువల్ స్విచ్‌లు దాన్ని నకిలీగా భావిస్తాయి. ఆ ప్రసారాన్ని అనుమతించడం మరియు అడాప్టర్‌కు ప్రతి ఫ్రేమ్‌ను స్వీకరించడానికి అనుమతి ఇవ్వడం వేర్వేరు నియంత్రణలు, రెండింటినీ ప్రతిచోటా ప్రారంభించడం సమస్య అవసరించిన దానికంటే చాలా పెద్ద మార్పు. వంతెన ఏ ఫ్రేమ్‌లను స్వీకరించాలి మరియు ఏవి విడుదల చేయాలి అని నిర్ణయించి, తర్వాత ఆ ప్రవర్తనను మాత్రమే దాని యాజమాన్యంలో ఉన్న సరిహద్దులో ఇవ్వండి. దూరం నుండి నిర్వహించే వంతెనను మార్చే ముందు కన్సోల్ యాక్సెస్‌ను ఉంచుకోండి.
కనెక్టివిటీని పునరుద్ధరించడం పరీక్షలో సగం; మిగిలిన సగం, నిరోధించబడి ఉండాల్సిన ప్రవాహం ఇప్పటికీ నిరోధించబడి ఉందని నిర్ధారించడం.
ఏ యజమాని ఫిల్టర్ చేసింది, ఏ నియంత్రణ మారింది మరియు ఏ రెండు ప్రవాహాలను మీరు ధృవీకరించారో నమోదు చేయండి. ఆ నమోదు తదుపరి సంఘటన pfSense తనను తాను విస్మరిస్తోంది అనే అదే ఊహతో ప్రారంభం కాకుండా నిరోధిస్తుంది.