لماذا لا يُظهر التقاط VPN الموجَّه أبدًا وسم VLAN الخاص بالفرع

لن تُظهر عمليات الالتقاط المأخوذة على واجهة النفق معرّف VLAN الخاص بالفرع أبدًا، وهذا خاصية في التصميم لا ثغرة في الأداة. ينقل نفق TUN الموجَّه حزم IP، لذا ينتهي إطار Ethernet الموسوم الذي حملها على ربط الفرع عند الموجّه الذي قام بتوجيهها. وإذا كان سؤال سياستك يتعلق بالمقاطع، فيجب اختيار موضع المستشعر لهذا السؤال قبل بدء الالتقاط. ويجب استبدال حقل VLAN الذي كنت تتوقعه بسياق يمكنك الدفاع عنه.

انظر إلى ما تحمله واجهة النفق فعليًا

يسلّم TUN حزم IP إلى المضيف، بينما يسلّم TAP إطارات Ethernet. ويستخدم التصميم الموجَّه الأول، وهذا يعني أن الحزمة التي تصل بعد فك التشفير لا تحتوي على أي ترويسة لطبقة الربط، وبالتالي لا يوجد وسم 802.1Q لقراءته. لم يُجرَّد أي شيء أثناء النقل، لأن الوسم لم يدخل النفق قط. تبدأ الحزمة الداخلية من ترويستها الخاصة بـ IP، لذا فإن كل حقل تتوقعه قاعدة مدركة لـ VLAN غائب ببساطة.

تأكد من نوع الواجهة قبل أن تجادل في الالتقاط، لأن جهاز TAP في النشر نفسه سيتصرف بشكل مختلف ويستدرجك إلى الاستنتاج الخاطئ.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

يطبع الأمر الأول نوع الجهاز وأعلامه. ويطبع الثاني ترويسات طبقة الربط لأول عشرين حزمة، وعلى جهاز TUN تبدأ المخرجات من IP دون كتلة Ethernet، وهذا هو التفسير كله في شاشة واحدة.

اختيار TAP لا يعيد الوسم أيضًا. يمرّر جهاز TAP الإطارات إلى جسر، وما يحدث للوسم يعتمد على ترشيح VLAN في الجسر وعضوية المنفذ المضبوطة. وهذا قرار تصميمي منفصل له أنماط فشل خاصة به.

قف في أحد ثلاثة مواضع واقبل ما يمكنه رؤيته

على مقطع Ethernet في الفرع يكون الوسم موجودًا، لكن المستشعر لا يرى إلا المرور المحلي على ذلك المقطع. وعلى شبكة VPN الخارجية يكون المرور محميًا، لذا يعرف المراقب نقاط النهاية وحجم البيانات ولا شيء عن الحزمة الداخلية. وعلى مسار TUN بعد فك التشفير تتوفر حزمة IP الداخلية، مع عناوينها ومنافذها، ودون إطار الفرع. وبالتالي يبدو التقاط على رابط مجمّع والتقاط موجَّه للتدفق نفسه كمحادثتين مختلفتين.

تلك المواضع الثلاثة تجيب عن ثلاثة أسئلة مختلفة، ولا يمكن لالتقاط واحد أن يكون الثلاثة في وقت واحد.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

شغّل الزوج وقارن. يُظهر الأول إطارات موسومة ومعرّفات VLAN الخاصة بها حيث يكون رابط الفرع مجمّعًا نحو المضيف؛ ويُظهر الثاني المحادثة نفسها كـ IP عادي بعد التوجيه. وإذا لم يُرجع الأول شيئًا على الإطلاق، فتحقق مما إذا كان منفذ المضيف منفذ وصول، لأنه حينها يكون الوسم قد أُزيل بالفعل بواسطة المبدّل ولن يُظهره أي التقاط على المضيف أبدًا.

استبدل الوسم المفقود بتخطيط يمكنك الدفاع عنه

إذا كانت السياسة تميّز المقاطع حسب بادئة IP، فاكتب ذلك التخطيط مع حدوده. فتداخل نطاقات العناوين وترجمة المصدر والبوابة المشتركة يمكن أن يجعل كل منها بادئة واحدة غير كافية لتحديد المصدر الحقيقي للحزمة.

ثق بالواجهة وسياق التوجيه الذي تتحكم به، لا بالتسمية التي يقدمها العميل. فحقل الترويسة الذي يمكن لنظير ضبطه ليس دليلًا على العضوية، وقاعدة تفتيش تعامله على هذا النحو يمكن تجاوزها بسهولة.

ip route get 10.20.30.40
ip -br addr show

يبلّغ الأمر الأول عن الواجهة والمصدر اللذين سيستخدمهما النواة لوجهة ما، وهي الرؤية المحلية لارتباط المقطع. ويسرد الثاني العناوين لكل واجهة حتى يمكن التحقق من البادئات في تخطيطك مقابل الواقع لا مقابل المخطط.

تحقق من مسار العودة والحمولة قبل الوثوق بالنتيجة

نقطة تفتيش ترى اتجاهًا واحدًا فقط ستفقد نصف المحادثة، والتوجيه غير المتماثل شائع بمجرد دخول VPN. تأكد من أن الردود تمر عبر المستشعر نفسه قبل أن تعتبر التقاطًا من جانب واحد مكتملًا.

استرداد حزمة IP الداخلية لا يفك تشفير جلسة HTTPS بداخلها أيضًا. وإذا كان سؤال السياسة يتعلق بالمحتوى لا بالتدفقات، فيجب أن يتحرك موضع المستشعر مرة أخرى، وهذا القرار ينتمي إلى وثيقة التصميم نفسها.

إن مدّ رابط غير مقيّد إلى مستشعر فقط لإظهار حقل VLAN يوسّع حدود الشبكة دون الإجابة عن السؤال الأصلي. اختر الموضع للمعلومات التي تحتاجها السياسة، وسجّل ما لا يمكنه رؤيته، وأعد النظر في الاختيار عندما يتغير السؤال.