VPN sensorunuz budaq VLAN teqini niyə heç vaxt görmür

VPN tərəfindəki sensor iki budaq VLAN-ı adi IP trafiki kimi görür və hər budağı öz naqilində tanıdan teq yox olub. Marşrutlaşdırılmış tunel məhz bunu edir: paketləri bərpa edir, onları çatdıran Ethernet kadrlarını yox. İtirilmiş teqin əhəmiyyətli olub-olmaması tamamilə sensor verdiyiniz sualdan asılıdır. Aşağıdakı dörd yoxlamanı ardıcıllıqla aparın və hansı müşahidə nöqtəsinin cavab verə biləcəyini biləcəksiniz.

Birinci: tunelin nəyi bərpa etdiyini müəyyən edin

TUN interfeysi IP paketlərini daşıyır, buna görə budaq kadrının VLAN başlığı trafiki tunelə itələyən marşrutlaşdırıcıda dayanır. TAP interfeysi Ethernet kadrlarını daşıyır, bu da körpü və VLAN qəbul qaydaları keçməyə icazə verdikdə teqlərin sağ qala biləcəyi deməkdir. Kadrın nəyi ehtiva etməli olduğu barədə düşünməzdən əvvəl interfeys növünü oxuyun.

Seçimlərin heç biri qüsur deyil. İki dizayn fərqli suallara cavab verir və teqi fərqli yerlərdə qoyur.

İnterfeysi məhsulun adından çıxarmaq əvəzinə özünüz təsdiqləyin. Bağlantı detalları cihazın növünü göstərir və qüvvədə olan bayraqları göstərir; TUN cihazında götürülmüş çəkiliş isə sadəcə istədiyiniz üçün Ethernet başlığı qazanmayacaq. Əgər TUN çəkilişində həqiqətən teqlər görünürsə, demək olar ki, başqa interfeysi və ya kadrları öz yükünün içində daşıyan tuneli oxuyursunuz. Davam etməzdən əvvəl hansı halda olduğunuzu qeyd edin.

İkinci: sensoru obyektin hələ mövcud olduğu yerə qoyun

Üç mövqe marşrutlaşdırılmış dizaynların çoxunu əhatə edir: budaq Ethernet seqmenti, tunel son nöqtələri arasındakı xarici şəbəkə və tunel emalından sonrakı yol. Hər biri fərqli obyekt görür və teq yalnız birincisində mövcuddur. Sensor mövqeyi seçmək siyasətin hansı obyektə ehtiyac duyduğuna dair qərardır, rahatlıq məsələsi deyil.

Siyasət sualını cədvəlin cavab verə biləcəyi dillə soruşun və məsələ adətən özü həll olunur. Qayda paketin hansı budaqdan gəldiyini bilməlidirsə, aşağı axındakı prefiks uyğunlaşdırması kifayət edə bilər, amma yalnız həmin uyğunlaşdırma dəqiq və birmənalı olduqca. Qayda kadrın hansı portda gəldiyini bilməlidirsə, birinci mövqe lazımdır, çünki aşağı axında heç nə onu yenidən qura bilməz. Sensorları sualdan çox vərdişə görə yerləşdirmək komandaların dizaynın heç vaxt daşımadığı sahəni tələb etməsi ilə bitir.

Ethernet daşıyan tunel fərqli dizayndır və son nöqtələrin nəyi saxladığını və ya yenidən yazdığını ayrıca yoxlamağı tələb edir. Təkbaşına TAP seçmək körpünü, VLAN qəbul qaydalarını və ya yoxlama siyasətini hələ də müəyyən etmir.

Üçüncü: mənbə kontekstinə etibar etmək əvəzinə onu qazanın

Hər budaq üçün bir ünvan aralığı VLAN kimliyinin adi əvəzləyicisidir və yalnız uyğunlaşdırma bire-bir qaldıqca keçərlidir. Üst-üstə düşən prefikslər, tərcümə və ortaq şlüz hər biri bu fərziyyəni dizayn deyil, məlumat keyfiyyəti problemi kimi görünən şəkildə pozur. Uyğunlaşdırmanı sərhədləri ilə birlikdə yazın və iki sətirlə uyğun gələn paketin taleyini deyin. İki budaqda görünən prefiks qəbul etdiyiniz sikkə atması deyil, aşkar etdiyiniz xəta olmalıdır.

Müştərinin verdiyi kontekst üzvlük sübutu deyil. O, bir iddiadır və başqa sütunda yer alır.

Fərqin vacib olduğu yerdə nəzarət etdiyiniz assosiasiya məlumatlarından istifadə edin: hansı tunel instansiyası bağlantını qəbul etdi, paketlər hansı interfeysə gəldi, yerli marşrut cədvəli o həmkar üçün nə deyir. Müştərinin təqdim etdiyi etiket faydalı bir işarə və faydasız bir avtorizasiya girişidir. Sensor assosiasiyanı öz tərəfindən qura bilmirsə, siyasət özündən əmin bir təxmin yerinə daha geniş qaydaya ehtiyac duyur.

Dördüncü: cavab yolunu və şifrə açmanın nəyi buraxdığını təsdiqləyin

Yalnız bir istiqaməti görən sensor yenə də sağlam görünə bilər, çünki sorğular vaxtında gəlməyə davam edir. Cavab yolunu açıq şəkildə yoxlayın və ümumi əlçatanlıq üçün deyil, eyni axın üçün yoxlayın. Yarım dupleks görünürlük ondan çıxardığınız hər hansı vəziyyətə əsaslanan nəticədə səssiz boşluğa çevrilir.

Daxili IP trafikini bərpa etmək də içindəki tətbiqi görməklə eyni deyil, çünki tunel üzərindən daşınan TLS TLS olaraq qalır.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Bu iki əmr interfeys sualına cavab verir və çəkilişin həqiqətən nə saxladığını göstərir, bu da arxitektura ilə mübahisə etməkdən sürətlidir. Dizaynınızın istifadə etdiyi interfeys adını yerinə qoyun və çəkilişi maraqlandığınız axın aktiv olanda aparın. TUN cihazında heç bir teq görünməyəndə tapıntı sensorun məlumat itirməsi deyil, dizaynın körpü qurmaq yerinə marşrutlaşdırmasıdır. Sonra ya sensoru teqi görə bilən mövqeyə köçürün, ya da qaydanı mövcud mövqeyin dəstəkləyə biləcəyi dillə yenidən yazın.