บริดจ์ TAP เสมือนของ pfSense: สามจุดที่เฟรมอาจตายได้

คุณปิดใช้งานกฎบนอินเทอร์เฟซ LAN แต่เฟรมยังคงหายไป และข้อสรุปคือ pfSense กำลังเพิกเฉยต่อไฟร์วอลล์ของตัวเอง สิ่งที่มักเกิดขึ้นคือเจ้าของอีกรายเป็นผู้ตัดสินใจ ได้แก่ ตัวบริดจ์เอง อินเทอร์เฟซสมาชิก หรือสวิตช์เสมือนที่อยู่นอกเกสต์ แต่ละรายมีการควบคุมและบันทึกของตัวเอง

ขอบเขตทั้งสามด้านล่างควรแยกให้ชัดก่อนเปลี่ยนการตั้งค่า เพราะการปิดอย่างหนึ่งไม่สามารถชดเชยอีกอย่างได้

หนึ่งเฟรม เจ้าของนโยบายสามราย

เฟรมจากไคลเอนต์ TAP เข้ามาทางอุปกรณ์อุโมงค์ ข้ามบริดจ์ของ pfSense ออกทางสมาชิก LAN แล้วผ่านสวิตช์เสมือนก่อนจะไปถึงสิ่งใด ภายในเกสต์ การกรองอาจเกิดขึ้นที่บริดจ์หรือที่อินเทอร์เฟซสมาชิก และตัวที่ทำงานอยู่เป็นการเลือกการกำหนดค่า ไม่ใช่คุณสมบัติตายตัว ภายนอกเกสต์ ไฮเปอร์ไวเซอร์ตัดสินใจว่าอะแดปเตอร์เสมือนนั้นส่งเฟรมที่มี MAC ต้นทางซึ่งไม่ใช่ของตนได้หรือไม่ การทิ้งที่จุดใดจุดหนึ่งในนั้นดูเหมือนกันจากมุมมองของไคลเอนต์

เขียนเส้นทางที่ตั้งใจไว้ก่อนสืบสวน ได้แก่ สมาชิกอุโมงค์ บริดจ์ สมาชิก LAN สวิตช์เสมือน ปลายทาง แล้วถามว่าเจ้าของรายใดบนเส้นทางนั้นจะเห็นเฟรมนี้

การควบคุมใดของ pfSense กำลังกรอง

pfSense จัดทำเอกสาร sysctl สองตัวสำหรับเรื่องนี้ ตัวหนึ่งสำหรับการกรองบนสมาชิกบริดจ์ และอีกตัวสำหรับการกรองบนตัวบริดจ์เอง และอย่างน้อยหนึ่งในนั้นต้องเปิดอยู่ การกรองระดับบริดจ์ใช้กับทราฟฟิกที่เข้ามาทางสมาชิกบริดจ์ จึงเป็นขาเข้าในเชิงทิศทาง ไม่ใช่สมมาตร อ่านกฎบนอินเทอร์เฟซที่กรองจริง เพราะกฎที่ตั้งบนสมาชิกที่ไม่มีบทบาทกรองไม่ได้ทำอะไรเลย เอกสารการกรองบริดจ์ อธิบายความเป็นเจ้าของ

อินเทอร์เฟซสมาชิกที่ไม่มีที่อยู่ IP ไม่มีแมโครที่อยู่หรือซับเน็ตของตัวเอง กฎที่เขียนกับแมโครนั้นจึงอาจอธิบายสิ่งอื่นที่ไม่ใช่ LAN ที่คุณตั้งใจ ใช้วัตถุเครือข่ายที่กำหนดไว้อย่างตั้งใจแทนแมโครเพื่อความสะดวก

แฟรกเมนต์ไม่ใช่เฟรม

เฟรมอีเทอร์เน็ตบรรทุกแพ็กเก็ต IP และแพ็กเก็ต IP อาจเป็นแฟรกเมนต์ของดาตาแกรมที่ใหญ่กว่า สองคำนี้จึงใช้แทนกันไม่ได้ นอกจากนี้ยังมีแพ็กเก็ตชั้นในภายในอุโมงค์และแพ็กเก็ตขนส่งชั้นนอกภายนอกอุโมงค์ และความล้มเหลวอาจเป็นของอย่างใดอย่างหนึ่ง ping เล็ก ๆ ทดสอบเส้นทางเดียวผ่านสแตกนั้นและไม่ได้พิสูจน์อะไรเกี่ยวกับการถ่ายโอนขนาดใหญ่ เปรียบเทียบการแลกเปลี่ยนที่ล้มเหลวที่ขอบเขตสองจุดที่อยู่ติดกัน และอ่านเหตุผลการทิ้งก่อนตำหนิกฎ

หากแฟรกเมนต์หายไป คำตอบคือการแก้ไขแบบจำกัดขอบเขตหรือการสอบสวนขนาดแพ็กเก็ต ไม่ใช่การตัดสินใจปิดการกรองทั้งหมด

ไฮเปอร์ไวเซอร์มีการตัดสินใจรับเข้าของตัวเอง

เกสต์ที่ทำบริดจ์ทราฟฟิกให้เครื่องอื่นจะส่งเฟรมที่มีที่อยู่ MAC ต้นทางไม่ใช่ของอะแดปเตอร์ตัวเอง และสวิตช์เสมือนจำนวนมากถือว่าเป็นการปลอมแปลง เว้นแต่กลุ่มพอร์ตจะอนุญาต การอนุญาตให้ส่งเช่นนั้นและการอนุญาตให้อะแดปเตอร์รับทุกเฟรมเป็นการควบคุมที่แยกกัน และการเปิดทั้งสองอย่างทุกที่คือการเปลี่ยนแปลงที่ใหญ่กว่าที่ปัญหาต้องการมาก พิจารณาว่าบริดจ์ต้องรับเฟรมใดและต้องส่งเฟรมใด แล้วให้เฉพาะพฤติกรรมนั้นที่ขอบเขตที่เป็นเจ้าของ เก็บการเข้าถึงคอนโซลไว้ก่อนเปลี่ยนบริดจ์ที่จัดการจากระยะไกล

การคืนการเชื่อมต่อเป็นครึ่งหนึ่งของการทดสอบ อีกครึ่งคือการยืนยันว่ากระแสที่ควรถูกบล็อกไว้ยังคงถูกบล็อก

บันทึกว่าเจ้าของรายใดกรอง การควบคุมใดเปลี่ยน และสองกระแสใดที่คุณตรวจสอบ บันทึกนั้นป้องกันไม่ให้เหตุการณ์ถัดไปเริ่มด้วยสมมติฐานเดิมว่า pfSense เพิกเฉยต่อตัวเอง