GTeley's questions

将虚拟 FreeBSD 12.2 系统升级到 13.0-p3 后，监狱内的服务流量（通过 Apache 2.4 反向代理）被阻止。这是一个 Hyper-V 虚拟服务器，第二个显示相同的问题（另一个是商业 VPS，虚拟机管理程序类型未知）。

起初，我认为这将是一个 PF 问题，因为停止 PF 解决了这个问题。我在 PF 日志中查找被阻止的流量，但找不到任何东西。

后来，我注意到创建一个新的监狱（使用 ezjail）不起作用，因为没有创建软链接。此外，访问监狱中的服务也不起作用，因为这在 12.2 监狱中不是问题。

作为测试，我从头开始创建了一个新的物理 v13 服务器并将其配置为升级后的服务器。一切正常。其次，我创建了另一个 Hyper-V 虚拟系统（在同一主机上）并从头开始安装并将其配置为升级后的系统（复制 /etc/rc.conf 和 /usr/local/etc/pf_rules 包含我的防火墙规则和更改了 IP 地址）。所有这一切都按其应有的方式工作。

所以我被几个 v12.2 系统困住了，我想升级到 v13.0，但是在同一个问题上 2 次尝试都失败了：监狱中的服务不再可以访问。看起来它与 PF 有关（因为停止它可以解决问题）但又没有（因为新安装的系统上的相同配置可以正常工作）。由于设置和配置是相同的，我找不到任何导致这种情况的原因。

还有其他方法可以找出这里出了什么问题吗？（就像我可以启用的其他一些日志记录一样，以查看为什么创建新监狱没有错误但呈现非工作监狱，因为没有创建 /basejail/* 的链接）

将我的 FreeBSD 系统从 12.2 升级到 13.0-p3 后，PF 阻止了所有流向我的监狱的流量。禁用 PF 时，一切正常（除了不受保护；））

我试图通过设置'block in log all'来弄清楚是什么规则阻止了这个流量，但是除了一些明显的多播内容之外，没有任何东西可以解释为什么这个流量被阻止了。

同样，在 12.2 版本下一切正常之前。我确实找到了一些关于 v13 现在过滤 VLAN 而不是 lo0 的文章，但我不使用任何 VLAN。

我应该进一步寻求什么方向？

2021 年 7 月 15 日更新：

为清楚起见：这是我的 pf_rules 文件：

set block-policy return
set optimization aggressive
set skip on { lo0, lo1, lo2, lo3, lo4, lo5 }
ext_if=hn0
ext_address="{ 192.x.x.x, 2001:981:x.x::x }"
ext_services = "{ ssh, http, https, smtp, smtps }"
tcp_services = "{ ftp, ssh, domain, ntp, www, smtp, smtps, submission, http, https,nfs}"
udp_services = "{ domain, ntp, nfs }"
icmp6_types="{ 2, 128 }" # packet too big, echo request (ping6)
icmp6_types_ext_if="{ 128, 133, 134, 135, 136, 137 }"
jail_net = "192.168.1.0/24"
jail_services = "{ mysql, http, smtp, 587, 3000 }"
table <sshguard> persist
scrub in all
nat pass on $ext_if from $jail_net to any -> $ext_address
block in log on $ext_if proto tcp from <sshguard> to any port ssh label "ssh bruteforce"
block in log all
pass in quick from <pf_whitelist> flags S/SA synproxy state
pass out on $ext_if inet6 proto icmp6 all icmp6-type echoreq keep state
pass out on $ext_if inet proto udp to port 33433:33626
pass out on $ext_if inet6 proto udp to port 33433:33626
pass in on $ext_if inet6 proto ipv6-icmp icmp6-type $icmp6_types keep state
pass in on $ext_if inet6 proto ipv6-icmp from any to { ($ext_if ), ff02::1/16 } icmp6-type $i
cmp6_types_ext_if keep state
pass in on $ext_if proto tcp from any to $ext_address port $ext_services keep state
pass in on $ext_if inet6 proto tcp from any to $ext_address port $ext_services keep state
pass out on $ext_if inet proto tcp to any port $tcp_services keep state
pass out on $ext_if inet6 proto tcp to any port $tcp_services keep state
pass out on $ext_if inet6 proto udp to any port $udp_services
pass proto udp to any port $udp_services keep state
pass in proto tcp from any to $jail_net port $jail_services keep state
pass out proto tcp from $jail_net to any port $jail_services keep state
pass inet proto icmp from any to any

这已经工作了很多年，直到 FreeBSD 13