虚拟化的pfSense 2.0.1是否会影响Hyper-V主机连接?阿普?


8

设置

我在Hyper-V中将pfSense 2.0.1(64bit-amd映像)设置为主机。如其他博客所述,我必须执行“ ifconfig down deX”,“ ifconfig up deX”来使网络正常运行。

该服务器(运行Windows 2008 R2的HP)配备了两个物理NIC。

  • 主机中未配置第一个物理NIC(端口1)(仅作为Hyper-V交换机,请参阅下文)。

  • 第二个物理NIC(端口2)配置有用于远程管理的网络(标准C类网络)。我认为两个NIC都连接到同一交换机,并且VLAN = default(物理布线是由我的托管服务提供商完成的)。

在Hyper-V中,定义了以下虚拟网络:

  • internal:虚拟机内部网络,用于VM之间的通信(连接Windows服务器的“ LAN”)。

  • Internet:虚拟网络用作pfSense的WAN连接。该网络已分配给服务器的第一个物理NIC(端口1)。虚拟网络专用于Hyper-V,并且不与主机共享。

在我的设置中,我将pfSense用作面向Internet的两个虚拟机(Windows服务器)的防火墙,这些虚拟机也运行在同一Hyper-V主机上。

Windows盒使用pfSense作为默认网关,并且我已通过pfSense防火墙成功将Windows更新下载到所有虚拟机–运行流畅。

为了重定向进入的服务,pfSense设置了1-1 NAT,以将ISP的IP地址映射到Windows框上的内部172.16.0.0/16地址。

问题

我遇到的问题是,在管理网络(端口2)上成功使用RDP连接后,该连接将终止,并且所有网络连接都将丢失到服务器和VM。在问题发生之前,我做了两次配置更改。

  1. 将管理IP地址从端口1移动到端口2。此更改已通过在一个小时后在新接口(如上所述的端口2)上重新连接RDP来成功验证。

  2. 在pfSense中的虚拟IP上进行了一些配置(1-1 NAT所需)。

几分钟后,与机器的连接断开。

令我感到困惑的是,Hyper-V应该不会管理网络连接(端口2),因为它没有与Hyper-V集成。但是,似乎从pfSense传播了错误(在端口1上使用NIC)。

今天早些时候,当仅使用一个NIC(Hyper-V / pfSense与主机之间共享的端口1)时,我们也遇到了类似的问题。然后我们遇到的问题是,当pfSense停止时,我们可以对主机执行ping操作,而当再次启动时,ping会停止工作(我们所知道的没有IP冲突)。

pfSense是从ISO安装的,“ MAC地址欺骗”默认为= off。

由于问题接缝在两个物理端口之间传播,因此我猜测这可能与ARP无法正常工作有关。

任何对此的见解评论都非常感谢。

/ J


您在解释问题上做得很出色。但是您不会说您做了什么更改。您能否列出用作虚拟IP和管理IP的实际(或混淆的)IP地址以及在#1和#2部分完成的实际更改?
安迪·辛

您是否在本地调试(服务器和客户端使用相同的开关)?我问是因为您可能会假设pfSense / Hyper-V是问题的根源,而实际上它可能会使某个状态的防火墙/代理失效。尝试尽可能靠近此主机,并使tcpdump和Wireshark分别在pfSense和Windows上运行,然后检查发生了什么。另外,由于交换了接口,因此请仔细检查Hyper-V的虚拟交换机中的所有内容。
2014年

您是否在虚拟接口上激活了混杂模式?您需要为防火墙激活它:默认情况下,来宾操作系统的虚拟网络适配器仅接收针对它的帧。将来宾的网络适配器置于混杂模式下会导致其接收在虚拟交换机上传递的所有帧,这些帧在关联端口组的VLAN策略下是允许的。这对于入侵检测监视或嗅探器需要分析网段上的所有流量很有用。
MrLightBulp 2014年

Answers:


1

您是否在W2008R2上检查了事件查看器?

可能是由于Windows允许的最大TCP连接:https : //technet.microsoft.com/zh-cn/library/cc759700%28WS.10%29.aspx

pfSense作为软件路由器使用许多可以打开但不能关闭的连接,等待状态等。这种网络使用可以达到TCP堆栈的默认限制,并且窗口可能会关闭或不允许更多此类连接。在这种情况下,要做的第一件事是检查“事件查看器”以查看是否报告了该事件。


您可以扩展这个答案吗?
BE77Y 2015年

pfSense作为软件路由器使用许多可以打开但不能关闭的连接,等待状态等。这种网络使用可以达到TCP堆栈的默认限制,并且窗口可能会关闭或不允许更多此类连接。在这种情况下,要做的第一件事是检查“事件查看器”以查看是否报告了该事件。
NetVicious 2015年

赞赏-但这是对以上回答的补充最有用的。:)
BE77Y 2015年

0

这听起来更像是pfSense与其他设备之间的路由问题。

如果将pFSense后面的虚拟机用作防火墙,则需要在与局域网PC不在同一个子网中使用它们。您可能必须打开pfSense上的其他接口(例如LAN2),然后将其在VM Host中映射到其他VM正在使用的专用VSwitch。.甚至在vSwitch中对流量进行标记,并为其分配单独的vlan。

我必须在VMWare上执行多次。同样对于1:1,您可能必须为这些实例添加静态网络路由映射。我已经看到pfSe nse的路由混乱了。

这样你有..

IINTERNET-> Wan0-> pFSense-> LAN1 PC ..

                  pfSense -->LAN2 Virtual Machines.

之后,您可以更好地控制路由和防火墙规则。

希望这会有所帮助,干杯...

By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.