Защо прихващането в маршрутизиран VPN никога не показва VLAN етикета на клона

Прихващанията, направени на тунелния интерфейс, никога няма да покажат VLAN ID на клона и това е свойство на дизайна, а не пропуск в инструмента. Маршрутизираният TUN тунел пренася IP пакети, така че маркираният Ethernet кадър, който ги е носил по клоновата връзка, завършва при рутера, който ги е маршрутизирал. Ако въпросът на вашата политика е за сегменти, позицията на сензора трябва да бъде избрана за този въпрос преди началото на прихващането. Полето VLAN, което сте очаквали, трябва да бъде заменено с контекст, който можете да защитите.

Вижте какво всъщност пренася тунелният интерфейс

TUN доставя IP пакети до хоста; TAP доставя Ethernet кадри. Маршрутизираният дизайн използва първото, което означава, че пакетът, който пристига след дешифриране, няма изобщо заглавка на каналния слой и следователно няма етикет 802.1Q за четене. Нищо не е било премахнато по пътя, защото етикетът никога не е влизал в тунела. Вътрешният пакет започва от своята IP заглавка, така че всяко поле, което правило, съобразено с VLAN, очаква, просто липсва.

Потвърдете типа на интерфейса, преди да спорите за прихващането, тъй като TAP устройство в същото внедряване ще се държи различно и ще ви подведе към грешно заключение.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Първата команда отпечатва вида на устройството и неговите флагове. Втората отпечатва заглавки на каналния слой за първите двадесет пакета и на TUN устройство изходът започва от IP без Ethernet блок, което е цялото обяснение на един екран.

Изборът на TAP също не възстановява етикета. TAP устройство предава кадри към мост и това, което се случва с етикета, зависи от VLAN филтрирането на моста и конфигурираното членство на порта. Това е отделно дизайнерско решение със свои собствени режими на отказ.

Застанете на едно от три места и приемете какво може да види

На Ethernet сегмента на клона етикетът присъства, но сензорът вижда само локален трафик в този сегмент. Във външната VPN мрежа трафикът е защитен, така че наблюдателят научава крайни точки и обем и нищо за вътрешния пакет. По пътя на TUN след дешифриране вътрешният IP пакет е наличен, с неговата адресация и портове и без клоновия кадър. Затова прихващане на транк и маршрутизирано прихващане на един и същ поток изглеждат като два различни разговора.

Тези три позиции отговарят на три различни въпроса и едно прихващане не може да бъде всичките наведнъж.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Изпълнете двойката и сравнете. Първата показва маркирани кадри и техните VLAN ID там, където клоновата връзка е транк към хоста; втората показва същия разговор като обикновен IP след маршрутизиране. Ако първата не върне нищо, проверете дали портът на хоста е порт за достъп, защото тогава етикетът вече е премахнат от суича и никакво прихващане на хоста никога няма да го покаже.

Заменете липсващия етикет с картографиране, което можете да защитите

Ако политиката разграничава сегменти по IP префикс, запишете това картографиране заедно с неговите граници. Припокриващи се диапазони от адреси, транслация на източника и споделен шлюз могат всяко да направят един префикс недостатъчен, за да се определи откъде наистина е дошъл даден пакет.

Доверете се на интерфейса и контекста на маршрутизиране, които контролирате, а не на етикет, който клиентът предоставя. Поле в заглавката, което партньор може да зададе, не е доказателство за членство и правило за инспекция, което се отнася към него като такова, се заобикаля лесно.

ip route get 10.20.30.40
ip -br addr show

Първата команда съобщава интерфейса и източника, които ядрото би използвало за дестинация, което е локалният изглед на привързването към сегмента. Втората изброява адресите за всеки интерфейс, така че префиксите в картографирането ви да могат да бъдат проверени спрямо реалността, а не спрямо диаграмата.

Проверете обратния път и полезния товар, преди да се доверите на резултата

Точка за инспекция, която вижда само една посока, ще пропусне половината разговор, а асиметричното маршрутизиране е често срещано, щом има VPN. Потвърдете, че отговорите минават през същия сензор, преди да приемете едностранно прихващане за пълно.

Възстановяването на вътрешния IP пакет също не дешифрира HTTPS сесия вътре в него. Ако въпросът на политиката е за съдържание, а не за потоци, позицията на сензора трябва да се премести отново и това решение принадлежи на същия дизайнерски документ.

Разширяването на неограничен транк до сензор само за да се появи поле VLAN увеличава мрежовата граница, без да отговаря на първоначалния въпрос. Изберете позицията за информацията, която политиката изисква, запишете какво не може да види и преразгледайте избора, когато въпросът се промени.