Virtual pfSense TAP ko'prigi: kadr o'lishi mumkin bo'lgan uch joy
Ko'prik, uning a'zolari va virtual kommutator har biri alohida qaror qabul qiladi. Yo'lda hech qachon bo'lmagan boshqaruvni o'chirishdan oldin qaysi egasi filtrlanganini aniqlang.
Siz LAN interfeysidagi qoidani o'chirasiz, kadr baribir yo'qoladi va xulosa shuki, pfSense o'z xavfsizlik devorini e'tiborsiz qoldiradi. Odatda qarorni boshqa egasi qabul qilgan: ko'prikning o'zi, a'zo interfeysi yoki mehmondan tashqaridagi virtual kommutator. Har birining o'z boshqaruvi va o'z jurnali bor.
Quyidagi uch chegarani biron parametrni o'zgartirishdan oldin ajratish kerak, chunki birini o'chirish ikkinchisini qoplay olmaydi.
Bitta kadr, uchta siyosat egasi
TAP mijozi kadri tunnel qurilmasidan kiradi, pfSense ko'prigidan o'tadi, LAN a'zosidan chiqadi va keyin biror narsaga yetishdan oldin virtual kommutatordan o'tadi. Mehmon ichida filtrlash ko'prikda yoki a'zo interfeyslarida bo'lishi mumkin, qaysi biri faol ekani esa sobit xususiyat emas, konfiguratsiya tanlovi. Mehmondan tashqarida gipervayzer bu virtual adapterning o'ziga tegishli bo'lmagan manba MAC bilan kadr yuborishini hal qiladi. Ana shu nuqtalardan birida tushib qolish mijoz tomondan bir xil ko'rinadi.
Tekshirishdan oldin ko'zlangan yo'lni yozib qo'ying: tunnel a'zosi, ko'prik, LAN a'zosi, virtual kommutator, manzil. Keyin shu yo'lda qaysi egasi kadrni ko'rgan bo'lardi, deb so'rang.
Qaysi pfSense boshqaruvi filtrlamoqda
pfSense buning uchun ikkita sysctl hujjatlashtiradi, biri ko'prik a'zolarida filtrlash, ikkinchisi ko'prikning o'zida filtrlash uchun, va ulardan kamida bittasi yoqilgan holda qolishi kerak. Ko'prik darajasidagi filtrlash ko'prik a'zolari orqali kelayotgan trafikka tegishli, shuning uchun u yo'nalish bo'yicha kiruvchi, simmetrik emas. Qoidalarni haqiqatan filtrlayotgan interfeysda o'qing, chunki filtrlash roli bo'lmagan a'zoga qo'yilgan qoida hech narsa qilmaydi. Ko'prik filtrlash hujjati egalikni tushuntiradi.
IP manzili bo'lmagan a'zo interfeysining o'z manzil yoki quyi tarmoq makrosi yo'q, shuning uchun shu makroga qarshi yozilgan qoida siz nazarda tutgan LANdan boshqa narsani tasvirlashi mumkin. Qulaylik makrolari o'rniga ataylab tayinlangan tarmoq obyektlaridan foydalaning.
Fragment kadr emas
Ethernet kadrlari IP paketlarini tashiydi, IP paketi esa kattaroq datagramning fragmenti bo'lishi mumkin, shuning uchun bu ikki so'z bir-birini almashtirmaydi. Tunnel ichida ichki paket, uning tashqarisida tashqi transport paketi ham bor, nosozlik ikkalasiga ham tegishli bo'lishi mumkin. Kichik ping shu stek orqali bitta yo'lni sinaydi va katta uzatish haqida hech narsani isbotlamaydi. Muvaffaqiyatsiz almashinuvni ikkita qo'shni chegarada solishtiring va qoidani ayblashdan oldin tushib qolish sababini o'qing.
Agar fragmentlar yo'qolsa, javob cheklangan tuzatish yoki paket hajmini tekshirish, filtrlashni butunlay o'chirish qarori emas.
Gipervayzerning o'z qabul qilish qarori bor
Boshqa mashinalar uchun trafikni ko'priklovchi mehmon manba MAC manzillari o'z adapteriga tegishli bo'lmagan kadrlarni chiqaradi va ko'plab virtual kommutatorlar port guruhi ruxsat bermasa, buni soxtalashtirish deb hisoblaydi. O'sha uzatishga ruxsat berish va adapterga har bir kadrni qabul qilishga ruxsat berish alohida boshqaruvlar, ikkalasini ham hamma joyda yoqish muammo talab qilganidan ancha katta o'zgarish. Ko'prik qaysi kadrlarni qabul qilishi va qaysilarini chiqarishi kerakligini aniqlang, keyin faqat shu xatti-harakatni unga egalik qiluvchi chegarada bering. Masofadan boshqariladigan ko'prikni o'zgartirishdan oldin konsolga kirishni saqlang.
Ulanishni tiklash sinovning yarmi; ikkinchi yarmi bloklangan qolishi kerak bo'lgan oqim hali ham bloklanganini tasdiqlash.
Qaysi egasi filtrlanganini, qaysi boshqaruv o'zgarganini va qaysi ikki oqimni tekshirganingizni yozib qo'ying. Bu yozuv keyingi hodisaning pfSense o'zini e'tiborsiz qoldiradi degan bir xil taxmin bilan boshlanishiga yo'l qo'ymaydi.