Режим моста¶

Мост (bridge) - синонимом термина «коммутатор» (switch). Устройство TING поддерживает работу в режиме моста. Данный режим - программная реализация коммутатора средствами FreeBSD.

Аппаратные коммутаторы реализуют функции коммутации Ethernet-кадров с помощью специализированных ASIC-чипов, и по этой причине, более эффективны по сравнению с программными коммутаторами. Использование программного коммутатора оправдано в случае, когда нужно объединить LAN-сегменты, подключенные к FreeBSD-машине, или использовать широкие возможности FreeBSD по фильтрации пакетов и мониторингу трафика.

Для системного администратора, настройка моста представлена в виде следующей метафоры. Администратор создает специальный мостовой интерфейс в операционной системе и определяет какие сетевые интерфейсы «подчинить» (включить в состав) данного мостового интерфейса.

В FreeBSD в мост могут быть добавлены физические Ethernet-интерфейсы, VLAN-интерфейсы, туннельные gif интерфейсы, TAP-адаптеры. В данной инструкции рассматриваются примеры добавления в мост традиционных физических Ethernet-интерфейсов.

Для выбранных интерфейсов включается специальный режим, в котором они начинают функционировать как порты коммутатора. При этом мостовой интерфейс (обозначается как br или bridge) соединяет программный коммутатор с операционной системой. Мостовой интерфейс является своего рода компенсацией за сетевые интерфейсы, которые были переведены в режим коммутаторных портов, и оставляет возможность взаимодействовать с FreeBSD как с TCP/IP-узлом. Для этого, мостовому интерфейсу нужно присвоить TCP/IP-настройки (адрес, маска и т.п.).

Мостом могут называть как мостовой интерфейс, так и само устройство в целом, на котором настроен режим моста.

Режим моста имеет множество применений. Одно из основных - упрощение сетевой топологии за счет объединения LAN-сегментов. LAN-сегменты, подключенные к интерфейсам, которые были добавлены в мост, оказываются объединенными в единый LAN-сегмент.

При добавлении в мост двух и более LAN-интерфейсов, можно получить единую внутренюю сеть вместо нескольких отдельных внутренних LAN-сегментов. При этом роль внутреннего LAN-интерфейса будет выполнять мостовой интерфейс. Устройство TING будет одновременно выполняет роль моста (между бывшими отдельными LAN-сегментами) и роль маршрутизатора (между новым объединенным LAN-сегментом и WAN-сегментом). Данный сценарий рассматривается в разделе Прозрачный мост между LAN-сегментами.

При добавлении в мост WAN- и LAN-интерфейса, отдельные WAN- и LAN-сегменты упраздняются в пользу единого сегмента. Если до включения моста, устройство TING служило маршрутизатором IP-дейтаграмм, то после включения данного функционала, оно становится чистым коммутатором. Данный сценарий рассматривается в разделе Прозрачный мост между LAN- и WAN-сегментами.

Одно из достоинств режима моста перед обычными аппаратными коммутаторами - это возможность фильтровать коммутируемые пакеты с помощью межсетевого экрана PF. Данный сценарий рассматривается в разделе Фильтрующий мост между LAN- и WAN-сегментами.

Прозрачный мост между LAN-сегментами¶

До выполнения настроек:

Устройство TING работает как маршрутизатор.
LAN- и LAN2-сегменты являются обособленными Ethernet-сегментами, которые сообщаются через маршрутизатор.
В сегменте LAN используется IP-сеть 192.168.1.0/24; в сегменте LAN2 используется IP-сеть 192.168.2.0/24.
Интерфейсу LAN присвоен IP-адрес 192.168.1.1/24; интерфейсу LAN2 присвоен IP-адрес 192.168.2.1/24.
DHCP-сервер на устройстве TING включен на интерфейсах LAN и LAN2 и раздает TCP/IP-настройки в сегменты LAN и LAN2.
Веб-интерфейс для административного доступа включен на интерфейсах LAN (IP-адрес 192.168.1.1) и LAN2 (IP-адрес 192.168.2.1).

После выполнения настроек:

Устройство TING перенастраивается как коммутатор, однако функции маршрутизации сохраняются. Устройство TING будет одновременно выполняет роль моста (между бывшими отдельными LAN-сегментами) и роль маршрутизатора (между новым объединенным LAN-сегментом и WAN-сегментом).
LAN- и LAN2-сегменты теперь являются составными частями одного Ethernet-сегмента; эти составные части соединяются через програмный коммутатор; програмный коммутатор подключен к виртуальному мостовому интерфейсу BRIDGE0 FreeBSD-машины.
В едином сегменте используется адресное пространство бывшего сегмента LAN, т.е. IP-сеть 192.168.1.0/24. Машины бывшего сегмента LAN2 должны быть перенастроены с использованием адресов из IP-сети 192.168.1.0/24. Интерфейсу BRIDGE0 присваивается адрес 192.168.1.2/24.
DHCP-сервер на устройстве TING перепривязывается к интерфейсу BRIDGE0 и выключается для интерфейсов LAN и LAN2.
Веб-интерфейс для административного доступа перепривязывается к интерфейсу BRIDGE0.

Примечание

При создании моста легко потерять контроль над устройством TING. По этой причине желательно придерживаться предложенного порядка осуществления настроек.

Создание моста

В меню Интерфейсы -> Другие типы -> Сетевой мост нажимаем кнопку Добавить. В поле Интерфейсы-участники выберите LAN и LAN2.

В поле Описание введите описание bridge0.

Нажимаем Сохранить.

Добавление бриджевого интерфейса в веб-интерфейс

В разделе Интерфейсы -> Назначения портов в поле Новый интерфейс выбираем строку bridge0 и нажимаем на +.

Нажимаем Сохранить

Настройка административного доступа через бриджевый интерфейс

В разделе Интерфейсы -> [OPT1] задайте следующие настройки:


Включен	Флаг установлен
Описание	bridge0
Блокировать частные сети	Флаг снят
Блокировать bogon сети	Флаг снят
Тип конфигурации IPv4	Статический IPv4
IPv4 адрес	192.168.1.2/24

Нажимаем Сохранить

Пройдите в раздел Межсетевой экран -> Правила на вкладку BRIDGE0. Создайте правило со следующими настройками:


Действие	Разрешить
Интерфейс	BRIDGE0
Версии TCP/IP	IPv4
Протокол	Любой
Отправитель	Любой
Получатель	Любой
Диапазон портов источника	Любой
Диапазон портов назначения	Любой

Нажмите Сохранить.

Нажмите Применить изменения.

Перенастройка DHCP-сервера на устройстве TING

В разделе Службы -> DHCP-> Сервер на вкладке LAN уберите флаг Включить DHCP-сервер на LAN интерфейсе.

На вкладке BRIDGE0 задайте следующие настройки:


Включен	Флаг установлен
Подсеть	192.168.1.0
Маска подсети	255.255.255.0
Доступный диапазон	192.168.1.1 - 192.168.1.254
Диапазон	192.168.1.10 - 192.168.1.245
DNS-серверы	192.168.1.2
Шлюз	192.168.1.2

Нажмите Сохранить.

Отключение PF-фильтрации для кадров, передаваемых через мост

Пройдите в раздел Система -> Настройки -> Параметры.

Убедитесь, что следующие параметры ядра выставлены в значение 0:

net.link.bridge.pfil_member
net.link.bridge.pfil_bridge

Данное значение параметров отключает фильтрацию со стороны PF для коммутируемых кадров (т.е. кадров, передаваемых через мост).

Нажмите Сохранить.

Лишение сбриджованных интерфейсов TCP/IP-настроек

В разделе Интерфейсы-> [LAN] задайте следующие настройки:


Тип конфигурации IPv4	Отсутствует
Тип конфигурации IPv6	Отсутствует

Нажмите Сохранить.

В разделе Интерфейсы-> [LAN2] задайте следующие настройки:


Тип конфигурации IPv4	Отсутствует
Тип конфигурации IPv6	Отсутствует

Нажмите Сохранить.

Нажмите Применить изменения.

Завершение настройки

Дальнейшее администрирование устройства TING потребует переподключения на IP-адрес 192.168.1.2 (присвоен бриджевому интерфейсу).

Для применения всех изменений перезагрузите устройство TING.

Прозрачный мост между LAN- и WAN-сегментами¶

До выполнения настроек:

Устройство TING работает как маршрутизатор.
WAN- и LAN-сегменты являются обособленными Ethernet-сегментами, которые сообщаются через маршрутизатор.
В WAN-сегменте используется IP-сеть провайдера; в LAN-сегменте используется IP-сеть 192.168.1.0/24.
Интерфейсу LAN присвоен IP-адрес 192.168.1.1/24.
TCP/IP-настройки для хостов в LAN-сегменте раздаются DHCP-сервером, расположенном на устройстве TING.
TCP/IP-настройки для WAN-адаптера получены от провайдера.
Веб-интерфейс для административного доступа включен на интерфейсе LAN (IP-адрес 192.168.1.1).

После выполнения настроек:

Устройство TING перенастраивается как коммутатор; функции маршрутизации выключаются.
LAN- и WAN-сегменты теперь являются составными частями одного Ethernet-сегмента; эти составные части соединяются через програмный коммутатор; програмный коммутатор подключен к виртуальному мостовому интерфейсу BRIDGE0 FreeBSD-машины.
В едином сегменте используется IP-сеть провайдера. Машины бывшего LAN-сегмента должны быть перенастроены с использованием адресов из IP-сети провайдера. Интерфейс BRIDGE0 получает TCP/IP настройки от провайдера.
DHCP-сервер на устройстве TING будет выключен.
Веб-интерфейс для административного доступа перепривязывается к адаптеру BRIDGE0.

Примечание

При создании моста легко потерять контроль над устройством TING. По этой причине желательно придерживаться предложенного порядка осуществления настроек.

Создание моста

В меню Интерфейсы -> Другие типы -> Сетевой мост нажимаем кнопку Добавить. В поле Интерфейсы-участники выберите LAN и WAN.

В поле Описание введите описание bridge0.

Нажимаем Сохранить.

Добавление бриджевого интерфейса в веб-интерфейс

В разделе Интерфейсы -> Назначения портов в поле Новый интерфейс выбираем строку bridge0 и нажимаем на +.

Нажимаем Сохранить

Настройка административного доступа через бриджевый интерфейс

В разделе Интерфейсы -> [OPT1] задайте следующие настройки:


Включен	Флаг установлен
Описание	bridge0
Блокировать частные сети	Флаг снят
Блокировать bogon сети	Флаг снят
Тип конфигурации IPv4	Статический IPv4
IPv4 адрес	192.168.1.2/24

Нажимаем Сохранить

Пройдите в раздел Межсетевой экран -> Правила на вкладку BRIDGE0. Создайте правило со следующими настройками:


Действие	Разрешить
Интерфейс	BRIDGE0
Версии TCP/IP	IPv4
Протокол	Любой
Отправитель	Любой
Получатель	Любой
Диапазон портов источника	Любой
Диапазон портов назначения	Любой

Нажмите Сохранить.

Нажмите Применить изменения.

Отключение DHCP-сервера на устройстве TING

В разделе Службы -> DHCP-> Сервер на вкладке LAN уберите флаг Включить DHCP-сервер на LAN интерфейсе.

Нажмите Сохранить.

Отключение PF-фильтрации для кадров, передаваемых через мост

Пройдите в раздел Система -> Настройки -> Параметры.

Убедитесь, что следующие параметры ядра выставлены в значение 0:

net.link.bridge.pfil_member
net.link.bridge.pfil_bridge

Данное значение параметров отключает фильтрацию со стороны PF для коммутируемых кадров (т.е. кадров, передаваемых через мост).

Нажмите Сохранить.

Отключение NAT

Примечание

При объединении LAN- и WAN-сегмента через мост, как правило, не имеет смысла продолжать использовать устройство TING в качестве маршрутизатора. По этой причине, настройки, связанные с маршрутизированием и NAT, убирают. В частности, механизм NAT будет выключен; адаптеры, входящие в мост, будут лишены TCP/IP-настроек (адрес, маска и т.п.).

Пройдите в раздел Межсетевой экран -> NAT -> Исходящий и выберите режим Отключить создание правил исходящего NAT (исходящий NAT отключен).

Нажимаем Сохранить.

Лишение сбриджованных интерфейсов TCP/IP-настроек

В разделе Интерфейсы-> [LAN] задайте следующие настройки:


Тип конфигурации IPv4	Отсутствует
Тип конфигурации IPv6	Отсутствует

Нажмите Сохранить.

В разделе Интерфейсы-> [WAN] задайте следующие настройки:


Тип конфигурации IPv4	Отсутствует
Тип конфигурации IPv6	Отсутствует

Нажмите Сохранить.

Завершение настройки

Дальнейшее администрирование устройства TING потребует переподключения на IP-адрес 192.168.1.2 (присвоен бриджевому интерфейсу).

Для применения всех изменений перезагрузите устройство TING.

Фильтрующий мост между LAN- и WAN-сегментами¶

Фильтрующий мост настраивается как прозрачный мост, плюс включается фильтрация со стороны PF для коммутируемых кадров.

Настройка прозрачного моста описана здесь. Включение фильтрации описано ниже.

Параметры, ответственные за включение фильтрации для кадров:

net.link.bridge.pfil_member
net.link.bridge.pfil_bridge

Возможны три сценария использования данных параметров:

Если необходимо выключить фильтрацию для коммутируемых через мост кадров, то оба параметра должны быть установлены в значение 0.
Чтобы иметь возможность создавать правила, которые будут давать совпадения с кадрами, пришедшими на конкретный входящий порт моста, параметр net.link.bridge.pfil_member должен быть выставлен в 1, при этом значение параметра net.link.bridge.pfil_bridge значения не имеет.
Чтобы иметь возможность создавать правила, в которых указание интерфейса как bridge0 будет означать любой порт моста, параметр net.link.bridge.pfil_bridge должен быть выставлен в 1, при этом параметр net.link.bridge.pfil_member должен иметь значение 0.

В нашем примере фильтрующего моста, мы будем использовать значения параметров, описанное в пункте 3.

Параметры находятся в разделе Система -> Настройки -> Параметры.

Примечание

Продемонстрируем возможность фильтрации коммутриуемых кадров с помощью PF на простом примере - запрет передачи через коммутатор кадров, содержащих пакеты протокола MS RDP.

Пройдите в раздел Межсетевой экран -> Правила на вкладку BRIDGE0. Создайте правило со следующими настройками:


Действие	Блокировать
Интерфейс	BRIDGE0
Версии TCP/IP	IPv4
Протокол	TCP
Отправитель	Любой
Получатель	Любой
Диапазон портов источника	Любой
Диапазон портов назначения	MS RDP

Нажмите Сохранить.