Waarom jou sensor aan die VPN-kant nooit die tak se VLAN-etiket sien nie

’n Sensor aan die VPN-kant sien twee tak-VLAN's as gewone IP-verkeer, en die etiket wat elke tak op sy eie draad geïdentifiseer het, is weg. Dit is wat ’n gerouteerde tonnel doen: hy herwin pakkies, nie die Ethernet-rame wat hulle afgelewer het nie. Of die ontbrekende etiket saak maak, hang heeltemal af van die vraag wat jy aan die sensor stel. Werk die vier kontroles hieronder in volgorde deur, dan weet jy watter waarnemingspunt dit kan beantwoord.

Eerste: stel vas wat jou tonnel herwin

’n TUN-koppelvlak dra IP-pakkies, dus stop die takraam se VLAN-kop by die roeter wat die verkeer in die tonnel ingedruk het. ’n TAP-koppelvlak dra Ethernet-rame, wat beteken dat etikette kan oorleef wanneer die brug en die VLAN-toelatingsreëls dit deurlaat. Lees die koppelvlaktipe voordat jy redeneer oor wat ’n opname behoort te bevat.

Nie een van die twee keuses is ’n fout nie. Die twee ontwerpe beantwoord verskillende vrae en laat die etiket op verskillende plekke.

Bevestig self die koppelvlak in plaas daarvan om dit uit die produknaam af te lei. Die besonderhede van die skakel noem die tipe toestel en wys die vlaggies wat geld, en ’n opname op ’n TUN-toestel sal nie ’n Ethernet-kop kry net omdat jy daarvoor gevra het nie. As daar tog etikette op ’n TUN-opname verskyn, lees jy byna seker ’n ander koppelvlak of ’n tonnel wat rame in sy vraglas dra. Let op in watter geval jy is voordat jy voortgaan.

Tweede: plaas die sensor waar die objek nog bestaan

Drie posisies dek die meeste gerouteerde ontwerpe: die tak se Ethernet-segment, die buitenste netwerk tussen die tonnel-eindpunte, en die pad ná tonnelverwerking. Elkeen sien ’n ander objek, en die etiket bestaan net by die eerste. Om ’n sensorposisie te kies is ’n besluit oor watter objek die beleid nodig het, nie ’n kwessie van gerief nie.

Vra die beleidsvraag in terme wat die tabel kan beantwoord, en dit los gewoonlik vanself op. As die reël moet weet uit watter tak ’n pakkie kom, kan die voorvoegselkartering stroomaf genoeg wees, maar net solank daardie kartering akkuraat en ondubbelsinnig is. As die reël moet weet op watter poort die raam aangekom het, het jy die eerste posisie nodig, want niks stroomaf kan dit herkonstrueer nie. Sensors wat uit gewoonte eerder as uit ’n vraag geplaas word, is hoe spanne uiteindelik ’n veld eis wat die ontwerp nooit gedra het nie.

’n Tonnel wat Ethernet dra, is ’n ander ontwerp en verg sy eie kontrole van wat die eindpunte bewaar of herskryf. Om alleen TAP te kies, bepaal steeds nie die brug, die VLAN-toelatingsreëls of die inspeksiebeleid nie.

Derde: verdien die bronkonteks in plaas daarvan om dit te vertrou

Een adresreeks per tak is die gewone plaasvervanger vir VLAN-identiteit, en dit hou net solank die kartering een-tot-een bly. Oorvleuelende voorvoegsels, vertaling en ’n gedeelde poort breek elkeen daardie aanname op ’n manier wat soos ’n datakwaliteitsprobleem lyk eerder as ’n ontwerpkwessie. Skryf die kartering met sy grense neer en sê wat met ’n pakkie gebeur wat twee rye pas. ’n Voorvoegsel wat in twee takke verskyn, behoort ’n fout te wees wat jy opspoor, nie ’n muntstuk wat jy aanvaar nie.

Konteks wat die kliënt verskaf, is nie bewys van lidmaatskap nie. Dit is ’n bewering, en dit hoort in ’n ander kolom.

Waar die onderskeid saak maak, gebruik assosiasiedata wat jy beheer: watter tonnelinstansie die verbinding aanvaar het, watter koppelvlak die pakkies op aangekom het, wat die plaaslike roetebeeld vir daardie eweknie sê. ’n Etiket wat die kliënt verskaf, is ’n nuttige leidraad en ’n nuttelose magtigingsinvoer. As die sensor nie die assosiasie van sy eie kant kan vasstel nie, het die beleid ’n breër reël nodig eerder as ’n selfversekerde raaiskoot.

Vierde: bevestig die antwoordpad en wat ontsyfering mis

’n Sensor wat net een rigting sien, kan steeds gesond lyk, want versoeke bly op tyd aankom. Kontroleer die antwoordpad uitdruklik, en kontroleer dit vir dieselfde vloei eerder as vir algemene bereikbaarheid. Half-dupleks sigbaarheid word ’n stil gaping in enige toestandvolle gevolgtrekking wat jy daaruit maak.

Om innerlike IP-verkeer te herwin is ook nie dieselfde as om die toepassing daarbinne te sien nie, want TLS wat oor die tonnel gedra word, bly TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Daardie twee opdragte beantwoord die koppelvlakvraag en wys wat die opname werklik bevat, wat vinniger is as om oor die argitektuur te stry. Vervang die koppelvlaknaam wat jou ontwerp gebruik en hardloop die opname terwyl die vloei wat jou saak maak aktief is. Wanneer geen etiket op ’n TUN-toestel verskyn nie, is die bevinding dat die ontwerp gerouteer het in plaas van gebrug, nie dat die sensor data laat val het nie. Skuif dan die sensor na ’n posisie wat die etiket kan sien, of herskryf die reël in terme wat die huidige posisie kan ondersteun.