Чаму перахоп у маршрутызаваным VPN ніколі не паказвае VLAN-тэг філіі

Перахопы, зробленыя на інтэрфейсе тунэля, ніколі не пакажуць VLAN ID філіі, і гэта ўласцівасць праектавання, а не прабел у інструменце. Маршрутызаваны тунэль TUN пераносіць IP-пакеты, таму пазначаны кадр Ethernet, які пераносіў іх на лініі філіі, сканчаецца на маршрутызатары, які іх маршрутызаваў. Калі ваша пытанне палітыкі датычыцца сегментаў, пазіцыя сэнсара павінна быць выбрана для гэтага пытання да пачатку перахопу. Поле VLAN, якое вы чакалі, павінна быць заменена кантэкстам, які вы можаце абараніць.

Паглядзіце, што насамрэч пераносіць інтэрфейс тунэля

TUN дастаўляе IP-пакеты на хост; TAP дастаўляе кадры Ethernet. Маршрутызаванае рашэнне выкарыстоўвае першае, што азначае, што пакет, які прыходзіць пасля расшыфроўкі, не мае загалоўка канальнага ўзроўню наогул, і таму няма тэга 802.1Q для чытання. Нічога не было выдалена ў шляху, бо тэг ніколі не трапляў у тунэль. Унутраны пакет пачынаецца з IP-загалоўка, таму кожнае поле, якое чакае правіла з улікам VLAN, проста адсутнічае.

Пацвердзіце тып інтэрфейса перад спрэчкай пра перахоп, бо прылада TAP у тым жа разгортванні паводзіць сябе інакш і схіляе да няправільнай высновы.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Першая каманда друкуе тып прылады і яе сцягі. Другая друкуе загалоўкі канальнага ўзроўню для першых дваццаці пакетаў, і на прыладзе TUN вывад пачынаецца з IP без блока Ethernet, што і ёсць усё тлумачэнне на адным экране.

Выбар TAP таксама не вяртае тэг. Прылада TAP перадае кадры ў мост, і тое, што адбываецца з тэгам, залежыць ад фільтрацыі VLAN моста і наладжанага членства порта. Гэта асобнае рашэнне праектавання з уласнымі рэжымамі адмовы.

Станьце ў адным з трох месцаў і прымайце тое, што яно можа бачыць

На сегменце Ethernet філіі тэг прысутнічае, але сэнсар бачыць толькі лакальны трафік на гэтым сегменце. У знешняй сетцы VPN трафік абаронены, таму назіральнік даведваецца канчатковыя пункты і аб'ём і нічога пра ўнутраны пакет. На шляху TUN пасля расшыфроўкі даступны ўнутраны IP-пакет, з яго адрасацыяй і партамі, і без кадра філіі. Таму перахоп на транку і маршрутызаваны перахоп аднаго патоку выглядаюць як дзве розныя размовы.

Гэтыя тры пазіцыі адказваюць на тры розныя пытанні, і адзін перахоп не можа быць усімі адначасова.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Запусціце пару і параўнайце. Першая паказвае пазначаныя кадры і іх VLAN ID там, дзе лінія філіі злучана транкам з хостам; другая паказвае тую ж размову як звычайны IP пасля маршрутызацыі. Калі першая не вяртае нічога, праверце, ці з'яўляецца порт хоста партом доступу, бо тады тэг ужо быў выдалены камутатарам і ніякі перахоп на хосце яго ніколі не пакажа.

Замяніце адсутны тэг на адлюстраванне, якое вы можаце абараніць

Калі палітыка адрознівае сегменты па IP-прэфіксе, запішыце гэта адлюстраванне разам з яго межамі. Перакрыжаваныя дыяпазоны адрасоў, трансляцыя крыніцы і агульны шлюз могуць кожны зрабіць адзін прэфікс недастатковым, каб вызначыць, адкуль пакет сапраўды прыйшоў.

Давярайце інтэрфейсу і кантэксту маршрутызацыі, якія вы кантралюеце, а не этыкетцы, якую падае кліент. Поле загалоўка, якое можа задаць партнёр, не з'яўляецца доказам членства, і правіла інспекцыі, якое ставіцца да яго як да такога, лёгка абыходзіцца.

ip route get 10.20.30.40
ip -br addr show

Першая каманда паведамляе інтэрфейс і крыніцу, якія ядро выкарыстала б для пункту прызначэння, што з'яўляецца лакальным выглядам далучэння да сегмента. Другая пералічвае адрасы па інтэрфейсах, каб прэфіксы ў вашым адлюстраванні маглі быць правераны супраць рэальнасці, а не супраць дыяграмы.

Праверце зваротны шлях і карысную нагрузку, перш чым давяраць выніку

Пункт інспекцыі, які бачыць толькі адзін кірунак, прапусціць палову размовы, а асіметрычная маршрутызацыя часта сустракаецца, калі задзейнічаны VPN. Пераканайцеся, што адказы праходзяць праз той жа сэнсар, перш чым лічыць аднабаковы перахоп поўным.

Аднаўленне ўнутранага IP-пакета таксама не расшыфроўвае HTTPS-сесію ўнутры яго. Калі пытанне палітыкі датычыцца змесціва, а не патокаў, пазіцыя сэнсара павінна зноў змяніцца, і гэтае рашэнне належыць таму ж дакументу праектавання.

Пашырэнне неабмежаванага транка да сэнсара толькі каб з'явілася поле VLAN, павялічвае мяжу сеткі, не адказваючы на першапачатковае пытанне. Выберыце пазіцыю для інфармацыі, якая патрэбна палітыцы, запішыце тое, чаго яна не можа бачыць, і перагледзьце выбар, калі пытанне зменіцца.