Nə üçün marşrutlaşdırılmış VPN tutması heç vaxt filial VLAN teqini göstərmir

Tunel interfeysində alınan tutmalar heç vaxt filialın VLAN ID-sini göstərməyəcək və bu, alətdəki boşluq deyil, dizaynın xüsusiyyətidir. Marşrutlaşdırılmış TUN tuneli IP paketlərini daşıyır, ona görə də onları filial əlaqəsində daşıyan işarələnmiş Ethernet kadrı onları marşrutlaşdıran marşrutlaşdırıcıda bitir. Siyasət sualınız seqmentlərə aiddirsə, sensor mövqeyi tutma başlamazdan əvvəl həmin sual üçün seçilməlidir. Gözlədiyiniz VLAN sahəsi müdafiə edə biləcəyiniz kontekstlə əvəz olunmalıdır.

Tunel interfeysinin əslində nə daşıdığına baxın

TUN IP paketlərini hosta çatdırır; TAP isə Ethernet kadrlarını çatdırır. Marşrutlaşdırılmış dizayn birincisini istifadə edir, yəni şifrədən çıxarıldıqdan sonra gələn paketin heç bir kanal qatı başlığı yoxdur və buna görə də oxunacaq 802.1Q teqi yoxdur. Yolda heç nə soyulmadı, çünki teq tunelə heç vaxt daxil olmadı. Daxili paket IP başlığından başlayır, ona görə də VLAN-a bələd olan qaydanın gözlədiyi hər sahə sadəcə yoxdur.

Tutma barədə mübahisə etməzdən əvvəl interfeys növünü təsdiqləyin, çünki eyni yerləşdirmədəki TAP cihazı fərqli davranacaq və səhv nəticəyə çağıracaq.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Birinci əmr cihaz növünü və onun bayraqlarını çap edir. İkinci əmr ilk iyirmi paket üçün kanal qatı başlıqlarını çap edir və TUN cihazında çıxış Ethernet bloku olmadan IP-dən başlayır, bu da bir ekranda bütün izahatdır.

TAP seçmək teqi də bərpa etmir. TAP cihazı kadrları körpüyə ötürür və teqin taleyi körpünün VLAN filtrləməsindən və portun konfiqurasiya edilmiş üzvlüyündən asılıdır. Bu, öz uğursuzluq rejimləri olan ayrı bir dizayn qərarıdır.

Üç yerdən birində durun və onun nə görə bildiyini qəbul edin

Filial Ethernet seqmentində teq mövcuddur, lakin sensor yalnız həmin seqmentdəki yerli trafiki görür. Xarici VPN şəbəkəsində trafik qorunur, buna görə müşahidəçi yalnız son nöqtələri və həcmi öyrənir, daxili paket barədə heç nə bilmir. Şifrədən çıxarıldıqdan sonra TUN yolunda daxili IP paketi mövcuddur, ünvanlanması və portları ilə birlikdə, filial kadrı olmadan. Buna görə də eyni axının trunk üzərində tutulması və marşrutlaşdırılmış tutulması iki fərqli söhbət kimi görünür.

Bu üç mövqe üç fərqli suala cavab verir və tək bir tutma hamısı birdən ola bilməz.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Cütü işə salın və müqayisə edin. Birincisi filial əlaqəsinin hosta trunk olduğu yerlərdə işarələnmiş kadrları və onların VLAN ID-lərini göstərir; ikincisi eyni söhbəti marşrutlaşdırmadan sonra adi IP kimi göstərir. Əgər birincisi heç nə qaytarmırsa, host portunun giriş portu olub-olmadığını yoxlayın, çünki o zaman teq artıq kommutator tərəfindən çıxarılıb və hostda heç bir tutma onu heç vaxt göstərməyəcək.

İtkin teqi müdafiə edə biləcəyiniz xəritələmə ilə əvəz edin

Siyasət seqmentləri IP prefiksinə görə fərqləndirirsə, bu xəritələməni məhdudiyyətləri ilə birlikdə yazın. Üst-üstə düşən ünvan aralıqları, mənbə tərcüməsi və ortaq şlüz hər biri bir prefiksi paketin həqiqətən haradan gəldiyini müəyyən etmək üçün qeyri-kafi edə bilər.

Nəzarət etdiyiniz interfeys və marşrutlaşdırma kontekstinə güvənin, müştərinin təqdim etdiyi etiketə deyil. Həmyaşıdın təyin edə biləcəyi başlıq sahəsi üzvlüyün sübutu deyil və onu belə qəbul edən yoxlama qaydası asanlıqla yan keçilir.

ip route get 10.20.30.40
ip -br addr show

Birinci əmr kernelin hər hansı təyinat üçün istifadə edəcəyi interfeysi və mənbəni bildirir ki, bu da seqment bağlılığının yerli görünüşüdür. İkincisi hər interfeys üzrə ünvanları sadalayır ki, xəritələmənizdəki prefikslər diaqramla deyil, reallıqla yoxlanılsın.

Nəticəyə güvənməzdən əvvəl geri dönüş yolunu və yükü yoxlayın

Yalnız bir istiqaməti görən yoxlama nöqtəsi söhbətin yarısını qaçıracaq və VPN işə düşdükdən sonra asimmetrik marşrutlaşdırma tez-tez olur. Birtərəfli tutmanı tam hesab etməzdən əvvəl cavabların eyni sensordan keçdiyini təsdiqləyin.

Daxili IP paketini bərpa etmək onun içindəki HTTPS seansını da şifrədən çıxarmır. Əgər siyasət sualı axınlardan çox məzmuna aiddirsə, sensor mövqeyi yenidən dəyişməlidir və bu qərar eyni dizayn sənədinə aiddir.

Yalnız VLAN sahəsini göstərmək üçün məhdudiyyətsiz trunk-u sensora uzatmaq ilkin suala cavab vermədən şəbəkə sərhədini genişləndirir. Mövqeyi siyasətin ehtiyac duyduğu məlumat üçün seçin, görə bilmədiklərini qeyd edin və sual dəyişdikdə seçimi yenidən nəzərdən keçirin.