Waarom 'n gerouteerde VPN-opname nooit die tak se VLAN-etiket wys

Opnames wat op die tonnelkoppelvlak geneem word, sal nooit die tak se VLAN-ID wys nie, en dit is 'n eienskap van die ontwerp eerder as 'n leemte in die gereedskap. 'n Gerouteerde TUN-tonnel dra IP-pakkette, so die geoormerkte Ethernet-raam wat hulle op die tak-skakel gedra het, eindig by die roeteerder wat hulle gerouteer het. As jou beleidsvraag oor segmente gaan, moet die sensorposisie voor die opname begin vir daardie vraag gekies word. Die VLAN-veld wat jy verwag het, moet deur konteks vervang word wat jy kan verdedig.

Kyk wat die tonnelkoppelvlak werklik dra

TUN lewer IP-pakkette aan die gasheer; TAP lewer Ethernet-rame. 'n Gerouteerde ontwerp gebruik die eerste, wat beteken dat die pakket wat ná ontsluiting aankom glad geen skakellaag-opskrif het nie, en dus geen 802.1Q-etiket om te lees nie. Niks is onderweg gestroop nie, want die etiket het nooit die tonnel binnegegaan nie. Die binneste pakket begin by sy IP-opskrif, so elke veld wat 'n VLAN-bewuste reël verwag, is bloot afwesig.

Bevestig die koppelvlaktipe voordat jy oor die opname redeneer, want 'n TAP-toestel in dieselfde ontplooiing sal anders optree en die verkeerde gevolgtrekking uitlok.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Die eerste opdrag druk die toestelsoort en sy vlae. Die tweede druk skakellaag-opskrifte vir die eerste twintig pakkette, en op 'n TUN-toestel begin die uitset by IP sonder 'n Ethernet-blok, wat die hele verklaring op een skerm is.

Om TAP te kies herstel nie die etiket nie. 'n TAP-toestel gee rame aan 'n brug deur, en wat met die etiket gebeur, hang af van die brug se VLAN-filtering en die poort se gekonfigureerde lidmaatskap. Dit is 'n afsonderlike ontwerpbesluit met sy eie foutmodusse.

Staan op een van drie plekke en aanvaar wat dit kan sien

Op die tak se Ethernet-segment is die etiket teenwoordig, maar die sensor sien net plaaslike verkeer op daardie segment. Op die buitenste VPN-netwerk is die verkeer beskerm, so 'n waarnemer leer eindpunte en volume en niks oor die binneste pakket. Op die TUN-pad ná ontsluiting is die binneste IP-pakket beskikbaar, met sy adressering en poorte, en sonder die tak-raam. 'n Opname op 'n trunk en 'n gerouteerde opname van dieselfde vloei lyk dus soos twee verskillende gesprekke.

Daardie drie posisies beantwoord drie verskillende vrae, en 'n enkele opname kan nie al drie gelyk wees nie.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Voer die paar uit en vergelyk. Die eerste wys geoormerkte rame en hul VLAN-ID's waar die tak-skakel aan die gasheer getrunk is; die tweede wys dieselfde gesprek as gewone IP ná roetering. As die eerste niks teruggee nie, kyk of die gasheerpoort 'n toegangspoort is, want dan is die etiket reeds deur die skakelaar verwyder en geen opname op die gasheer sal dit ooit wys nie.

Vervang die ontbrekende etiket met 'n kartering wat jy kan verdedig

As beleid segmente volgens IP-voorvoegsel onderskei, skryf daardie kartering saam met sy grense neer. Oorvleuelende adresreekse, brontranslasie en 'n gedeelde poort kan elkeen een voorvoegsel onvoldoende maak om te bepaal waar 'n pakket werklik vandaan kom.

Vertrou die koppelvlak en roeteringkonteks wat jy beheer, nie 'n etiket wat die kliënt verskaf nie. 'n Kopveld wat 'n eweknie kan stel, is nie bewys van lidmaatskap nie, en 'n inspeksiereël wat dit as sodanig behandel, word maklik omseil.

ip route get 10.20.30.40
ip -br addr show

Die eerste opdrag rapporteer die koppelvlak en bron wat die kern vir 'n bestemming sou gebruik, wat die plaaslike siening van segmentaanhegting is. Die tweede lys adresse per koppelvlak sodat die voorvoegsels in jou kartering teen die werklikheid eerder as teen die diagram nagegaan kan word.

Kontroleer die terugpad en die nutslading voordat jy die resultaat vertrou

'n Inspeksiepunt wat net een rigting sien, sal die helfte van die gesprek mis, en asimmetriese roetering is algemeen sodra 'n VPN betrokke is. Bevestig dat antwoorde dieselfde sensor deurkruis voordat jy 'n eensydige opname as volledig beskou.

Die herwinning van die binneste IP-pakket ontsluit ook nie 'n HTTPS-sessie daarbinne nie. As die beleidsvraag oor inhoud eerder as vloei gaan, moet die sensorposisie weer skuif, en daardie besluit hoort by dieselfde ontwerpdokument.

Om 'n onbeperkte trunk na 'n sensor te verleng net om 'n VLAN-veld te laat verskyn, vergroot die netwerkgrens sonder om die oorspronklike vraag te beantwoord. Kies die posisie vir die inligting wat die beleid nodig het, teken op wat dit nie kan sien nie, en hersien die keuse wanneer die vraag verander.