Чаму ваш сэнсар VPN ніколі не бачыць тэг VLAN філіяла

Сэнсар з боку VPN бачыць дзве VLAN філіяла як звычайны IP-трафік, а тэг, які пазначаў кожны філіял на ягоным уласным провадзе, знік. Менавіта гэта робіць маршрутызаваны тунель: ён аднаўляе пакеты, а не кадры Ethernet, якія іх даставілі. Ці мае значэнне адсутны тэг, цалкам залежыць ад пытання, якое вы ставіце сэнсару. Выканайце чатыры праверкі ніжэй па парадку, і вы даведаецеся, які пункт назірання можа на яго адказаць.

Перш за ўсё: вызначце, што аднаўляе ваш тунель

Інтэрфейс TUN перадае IP-пакеты, таму загаловак VLAN кадра філіяла спыняецца на маршрутызатары, які заштурхнуў трафік у тунель. Інтэрфейс TAP перадае кадры Ethernet, а гэта значыць, што тэгі могуць захавацца, калі мост і правілы пропуску VLAN іх прапускаюць. Прачытайце тып інтэрфейса, перш чым разважаць, што павінен змяшчаць здымак.

Ні адзін з варыянтаў не з'яўляецца дэфектам. Дзве канструкцыі адказваюць на розныя пытанні і пакідаюць тэг у розных месцах.

Праверце інтэрфейс самі, а не рабіце выснову з назвы прадукту. Дэталі злучэння называюць тып прылады і паказваюць дзейныя сцягі, а здымак, зроблены на прыладзе TUN, не набудзе загалоўка Ethernet толькі таму, што вы папрасілі. Калі тэгі ўсё ж з'явяцца на здымку TUN, вы амаль напэўна чытаеце іншы інтэрфейс або тунель, які нясе кадры ўнутры сваёй нагрузкі. Адзначце, у якім вы выпадку, перш чым працягваць.

Другое: пастаўце сэнсар там, дзе аб'ект яшчэ існуе

Тры пазіцыі ахопліваюць большасць маршрутызаваных канструкцый: сегмент Ethernet філіяла, знешняя сетка паміж канцавымі пунктамі тунеля і шлях пасля апрацоўкі тунеля. Кожная бачыць розны аб'ект, і тэг існуе толькі ў першай. Выбар пазіцыі сэнсара — гэта рашэнне пра тое, які аб'ект патрэбны палітыцы, а не пытанне зручнасці.

Сфармулюйце пытанне палітыкі ў тэрмінах, на якія табліца можа адказаць, і яно звычайна вырашаецца само. Калі правілу трэба ведаць, з якога філіяла прыйшоў пакет, супастаўленне прэфіксаў ніжэй можа быць дастатковым, але толькі пакуль гэта супастаўленне дакладнае і адназначнае. Калі правілу трэба ведаць, на які порт прыйшоў кадр, патрэбна першая пазіцыя, бо нішто ніжэй не можа яго аднавіць. Сэнсары, размешчаныя па звычцы, а не па пытанні, — гэта тое, як каманды пачынаюць патрабаваць поле, якога канструкцыя ніколі не несла.

Тунель, які перадае Ethernet, — гэта іншая канструкцыя, і ён патрабуе ўласнай праверкі таго, што канцавыя пункты захоўваюць або перапісваюць. Адзін толькі выбар TAP па-ранейшаму не вызначае мост, правілы пропуску VLAN ці палітыку інспекцыі.

Трэцце: заслужыце кантэкст крыніцы замест таго, каб давяраць яму

Адзін дыяпазон адрасоў на філіял — звычайная замена ідэнтычнасці VLAN, і ён дзейны толькі пакуль супастаўленне застаецца адно да аднаго. Перасякальныя прэфіксы, трансляцыя і агульны шлюз кожны па-свойму ламаюць гэта дапушчэнне так, што выглядае як праблема якасці даных, а не канструкцыі. Запішыце супастаўленне з яго межамі і скажыце, што адбываецца з пакетам, які адпавядае двум радкам. Прэфікс, які з'яўляецца ў двух філіялах, павінен быць памылкай, якую вы выяўляеце, а не падкідваннем манеты, якое вы прымаеце.

Кантэкст, які падае кліент, не з'яўляецца доказам сяброўства. Гэта заява, і яе месца ў іншым слупку.

Там, дзе адрозненне важнае, выкарыстоўвайце даныя сувязі, якія вы кантралюеце: які асобнік тунеля прыняў злучэнне, на які інтэрфейс прыйшлі пакеты, што лакальная табліца маршрутаў кажа пра гэтага партнёра. Метка, якую падае кліент, — карысная падказка і бескарысны ўвод для аўтарызацыі. Калі сэнсар не можа ўстанавіць сувязь са свайго боку, палітыцы патрэбна шырэйшае правіла, а не ўпэўненая здагадка.

Чацвёртае: пацвердзіце шлях адказу і тое, што прапускае расшыфроўка

Сэнсар, які бачыць толькі адзін напрамак, усё яшчэ можа выглядаць здаровым, бо запыты працягваюць прыходзіць па раскладу. Праверце шлях адказу яўна і праверце яго для таго ж патоку, а не для агульнай дасяжнасці. Паўдуплексная бачнасць становіцца ціхай прагалінай у любым выснове з улікам стану, які вы з яе робіце.

Аднаўленне ўнутранага IP-трафіку таксама не тое ж самае, што бачанне праграмы ўнутры яго, бо TLS, які перадаецца праз тунель, застаецца TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Гэтыя дзве каманды адказваюць на пытанне пра інтэрфейс і паказваюць, што здымак сапраўды змяшчае, а гэта хутчэй, чым спрачацца пра архітэктуру. Падстаўце назву інтэрфейса, якую выкарыстоўвае ваша канструкцыя, і запусціце здымак, пакуль патрэбны вам паток актыўны. Калі на прыладзе TUN не з'яўляецца ніводнага тэга, выснова ў тым, што канструкцыя маршрутызавала, а не маставала, а не ў тым, што сэнсар страціў даныя. Затым або перанясіце сэнсар у пазіцыю, якая бачыць тэг, або перапішыце правіла ў тэрмінах, якія бягучая пазіцыя можа падтрымаць.