Sanal pfSense TAP köprüsü: bir çerçevenin ölebileceği üç yer

LAN arabirimindeki bir kuralı devre dışı bırakıyorsunuz, çerçeve yine de kayboluyor ve sonuç pfSense'in kendi güvenlik duvarını yok saydığı oluyor. Genellikle olan şey, kararı başka bir sahibin vermesidir: köprünün kendisi, üye arabirimi veya konuk dışındaki sanal anahtar. Her birinin kendi denetimi ve kendi günlüğü var.

Aşağıdaki üç sınır, bir ayarı değiştirmeden önce ayrılmayı hak ediyor, çünkü birini kapatmak diğerini telafi edemez.

Bir çerçeve, üç ilke sahibi

TAP istemcisinden gelen bir çerçeve tünel aygıtından girer, pfSense köprüsünü geçer, bir LAN üyesinden çıkar ve ardından herhangi bir şeye ulaşmadan önce sanal bir anahtardan geçer. Konuğun içinde filtreleme köprüde veya üye arabirimlerinde gerçekleşebilir ve hangisinin etkin olduğu sabit bir özellik değil, yapılandırma seçimidir. Konuğun dışında hipervizör, o sanal bağdaştırıcının kendisine ait olmayan bir kaynak MAC ile çerçeve gönderip gönderemeyeceğine karar verir. Bu noktalardan herhangi birinde düşme, istemci tarafından aynı görünür.

Araştırmadan önce amaçlanan yolu yazın: tünel üyesi, köprü, LAN üyesi, sanal anahtar, hedef. Ardından o yoldaki hangi sahibin çerçeveyi göreceğini sorun.

Hangi pfSense denetimi filtreliyor

pfSense bunun için iki sysctl belgeler, biri köprü üyelerinde filtreleme diğeri köprünün kendisinde filtreleme için ve en az biri etkin kalmalıdır. Köprü düzeyinde filtreleme, köprü üyeleri üzerinden gelen trafiğe uygulanır, bu nedenle yön olarak gelen taraftadır, simetrik değildir. Kuralları gerçekten filtreleyen arabirimde okuyun, çünkü filtreleme rolü olmayan bir üyeye konan kural hiçbir şey yapmaz. Köprü filtreleme belgeleri sahipliği açıklar.

IP adresi olmayan bir üye arabiriminin kendi adres veya alt ağ makrosu yoktur, bu yüzden o makroya karşı yazılan bir kural amaçladığınız LAN dışında bir şeyi tanımlayabilir. Kolaylık makroları yerine bilerek atanmış ağ nesneleri kullanın.

Parça çerçeve değildir

Ethernet çerçeveleri IP paketlerini taşır ve bir IP paketi daha büyük bir veri gramının parçası olabilir, bu yüzden bu iki sözcük birbirinin yerine kullanılamaz. Tünelin içinde bir iç paket, dışında ise bir dış taşıma paketi de vardır ve arıza her ikisine de ait olabilir. Küçük bir ping o yığından geçen tek bir yolu dener ve büyük bir aktarım hakkında hiçbir şey kanıtlamaz. Başarısız alışverişi iki komşu sınırda karşılaştırın ve bir kuralı suçlamadan önce düşme nedenini okuyun.

Parçalar kaybolursa yanıt, sınırlı bir düzeltme veya paket boyutu araştırmasıdır, filtrelemeyi tamamen kapatma kararı değildir.

Hipervizörün kendi kabul kararı vardır

Diğer makineler için trafiği köprüleyen bir konuk, kaynak MAC adresleri kendi bağdaştırıcısına ait olmayan çerçeveler yayar ve birçok sanal anahtar, bağlantı noktası grubu izin vermedikçe bunu sahtekârlık olarak görür. O iletime izin vermek ve bağdaştırıcıya her çerçeveyi alma izni vermek ayrı denetimlerdir ve ikisini her yerde etkinleştirmek sorunun gerektirdiğinden çok daha büyük bir değişikliktir. Köprünün hangi çerçeveleri alması ve hangilerini göndermesi gerektiğini belirleyin, sonra yalnızca o davranışı ona sahip olan sınırda verin. Uzaktan yönetilen bir köprüyü değiştirmeden önce konsol erişimini koruyun.

Bağlantıyı geri getirmek testin yarısıdır; diğer yarısı, engellenmiş kalması gereken bir akışın hâlâ engelli olduğunu doğrulamaktır.

Hangi sahibin filtrelediğini, hangi denetimin değiştiğini ve hangi iki akışı doğruladığınızı kaydedin. Bu kayıt, bir sonraki olayın pfSense'in kendini yok saydığına dair aynı varsayımla başlamasını engeller.