Hyper-Vホスト接続に影響を与える仮想化pfSense 2.0.1?arp?


8

セットアップ

Hyper-VのホストとしてpfSense 2.0.1(64ビットAMDイメージ)をセットアップしました。他のブログで説明されているように、ネットワークを稼働させるには、「ifconfig down deX」、「ifconfig up deX」を実行する必要がありました。

サーバー(Windows 2008 R2を実行するHP)には2つの物理NICが搭載されています。

  • 最初の物理NIC(ポート1)はホストで構成されていません(Hyper-Vスイッチとしてのみ、下を参照)。

  • 2番目の物理NIC(ポート2)は、リモート管理用のネットワーク(標準Cクラスネットワーク)で構成されています。両方のNICが同じスイッチとVLAN = defaultに接続されていると思います(物理的な配線はコロケーションプロバイダーによって行われました)。

Hyper-Vでは、次の仮想ネットワークが定義されています。

  • internal:VM間の通信に使用される仮想マシンの内部ネットワーク(Windowsサーバーを接続する「LAN」)。

  • インターネット:pfSenseのWAN接続として使用される仮想ネットワーク。このネットワークは、サーバーの最初の物理NIC(ポート1)に割り当てられます。仮想ネットワークはHyper-V専用であり、ホストと共有されません。

私のセットアップでは、同じHyper-Vホストで実行されているいくつかの仮想マシン(Windowsサーバー)のインターネットに面するファイアウォールとしてpfSenseを使用しています。

WindowsボックスはデフォルトゲートウェイとしてpfSenseを使用しており、pfSenseファイアウォールを介してすべてのVMにWindows更新を正常にダウンロードしました。

着信サービスをリダイレクトするために、pfSenseは、ISPのIPアドレスをWindowsボックスの内部172.16.0.0/16アドレスにマップするように1-1 NATでセットアップされています。

問題

私が抱えていた問題は、管理ネットワーク(ポート2)を介したRDP接続を正常に処理した後、接続が停止し、サーバーとVMへのすべてのネットワーク接続が失われることです。問題が発生する前に、2つの構成変更を行いました。

  1. 管理IPアドレスをポート1からポート2に移動しました。この変更は、1時間後に新しいインターフェイス(上記のポート2)でRDPを再接続することで確認されました。

  2. pfSenseの仮想IPの一部の構成(1-1 NATに必要)。

数分後、マシンへの接続が失われました。

私を困惑させるのは、Hyper-Vと統合されていないため、管理ネットワーク接続(ポート2)はHyper-Vによって変更されないことになっているということです。ただし、pfSenseからのエラー伝搬があるようです(ポート1でNICを使用)。

今日の初めに、NICを1つだけ使用するときに同様の問題がありました(Hyper-V / pfSenseとホスト間で共有されるポート1)。そのとき得られた問題は、pfSenseが停止したときにホストにpingを実行でき、ホストが再度開始されたときにpingが機能しなくなったことです(IPの競合がないことがわかっています)。

pfSenseはISOからインストールされ、「MACアドレススプーフィング」はデフォルト=オフです。

2つの物理ポート間で伝搬するシームの問題から、これはARPが正しく機能していないことに関係している可能性があると推測しています。

洞察はこれについて非常に高く評価されています。

/ J


あなたは問題を説明するという神の仕事をしました。しかし、どのような変更を加えたかは言いません。仮想IPおよび管理IPとして使用される実際の(または難読化された)IPアドレスと、実際の変更がパート1および2で行われたことをリストできますか?
Andy Shinn 2013

これをローカルでデバッグしていますか(サーバーとクライアントで同じスイッチ)?あなたがpfSense / Hyper-Vが問題の原因であると想定している可能性があるので、実際にファイアウォール/プロキシがステートフル接続を期限切れにする可能性があるので、私は尋ねています。このホストにできるだけ近づけて、tcpdumpとWiresharkをそれぞれpfSenseとWindowsで実行したままにして、何が起こっているかを確認します。また、インターフェースを交換したため、Hyper-Vの仮想スイッチですべてを再確認してください。
Giovanni Tirloni 2014

仮想インターフェイスで混合モードをアクティブにしましたか?ファイアウォールではこれをアクティブにする必要があります。デフォルトでは、ゲストオペレーティングシステムの仮想ネットワークアダプターは、そのためのフレームのみを受信します。ゲストのネットワークアダプターを無差別モードにすると、関連付けられたポートグループのVLANポリシーで許可されている仮想スイッチを通過するすべてのフレームを受信します。これは、侵入検知の監視や、スニファがネットワークセグメント上のすべてのトラフィックを分析する必要がある場合に役立ちます。
MrLightBulp 2014年

回答:


1

W2008R2のイベントビューアを確認しましたか?

Windowsで許可されている最大TCP接続が原因である可能性があります:https : //technet.microsoft.com/en-us/library/cc759700%28WS.10%29.aspx

ソフトウェアルーターとしてのpfSenseは、開くことができるが閉じられない、待機状態などの多くの接続を使用します。この種のネットワーク使用は、TCPスタックのデフォルトの制限を達成する可能性があり、ウィンドウが閉じたり、このタイプの接続をこれ以上許可しない可能性があります。この場合に最初に行うことは、イベントビューアをチェックして、そこで報告されているものがあるかどうかを確認することです。


この答えを詳しく説明できますか?
BE77Y 2015

ソフトウェアルーターとしてのpfSenseは、開くことができるが閉じられない、待機状態などの多くの接続を使用します。この種のネットワーク使用は、TCPスタックのデフォルトの制限を達成する可能性があり、ウィンドウが閉じたり、このタイプの接続をこれ以上許可しない可能性があります。この場合に最初に行うことは、イベントビューアをチェックして、そこで報告されているものがあるかどうかを確認することです。
NetVicious 2015

感謝します-しかし、それは上記の回答への追加として最も役立ちます。:)
BE77Y 2015

0

これは、pfSenseと他のデバイス間のルーティングの問題のように聞こえます...

ファイアウォールとしてpFSenseの背後にある仮想マシンを使用している場合は、LAN上のPCとは異なるサブネットにそれらを必要とします。pfSense(LAN2など)で追加のインターフェイスを有効にする必要がある場合があります。次に、VMホストでそれを他のVMが使用しているプラ​​イベートVSwitchにマップします。または、vSwitchのトラフィックにタグを付けて、別個のVLANを用意します。

私はこれを何度もVMWareで行わなければなりませんでした。また、1:1の場合は、例として静的ネットワークルートマッピングを追加する必要がある場合があります。私はpfSe nseがそのルーティングをめちゃくちゃにするのを見ました。

そうやって…

IINTERNET-> Wan0-> pFSense-> LAN1 PC ..

                  pfSense -->LAN2 Virtual Machines.

その後、ルーティングとファイアウォールのルールをより適切に制御できます。

よろしくお願いいたします。乾杯...

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.