কেন রাউটেড VPN ক্যাপচারে কখনোই ব্রাঞ্চ VLAN ট্যাগ দেখা যায় না

টানেল ইন্টারফেসে নেওয়া ক্যাপচার কখনোই ব্রাঞ্চ VLAN ID দেখাবে না, এবং এটি টুলের ঘাটতি নয়, ডিজাইনের বৈশিষ্ট্য। একটি রাউটেড TUN টানেল IP প্যাকেট বহন করে, তাই যে ট্যাগযুক্ত Ethernet ফ্রেম সেগুলোকে ব্রাঞ্চ লিংকে বহন করেছিল তা রাউটারেই শেষ হয় যা সেগুলো রাউট করেছিল। আপনার নীতির প্রশ্ন যদি সেগমেন্ট নিয়ে হয়, তাহলে ক্যাপচার শুরুর আগেই সেই প্রশ্নের জন্য সেন্সরের অবস্থান বেছে নিতে হবে। আপনি যে VLAN ফিল্ড আশা করেছিলেন তা এমন প্রসঙ্গ দিয়ে প্রতিস্থাপন করতে হবে যা আপনি যুক্তি দিয়ে সমর্থন করতে পারেন।

টানেল ইন্টারফেস আসলে কী বহন করে তা দেখুন

TUN হোস্টে IP প্যাকেট পৌঁছায়; TAP Ethernet ফ্রেম পৌঁছায়। রাউটেড ডিজাইন প্রথমটি ব্যবহার করে, অর্থাৎ ডিক্রিপশনের পরে আসা প্যাকেটে কোনো লিংক-লেয়ার হেডারই থাকে না, এবং তাই পড়ার জন্য কোনো 802.1Q ট্যাগ থাকে না। পথে কিছুই ছাড়ানো হয়নি, কারণ ট্যাগ কখনো টানেলে ঢোকেনি। ভেতরের প্যাকেট তার IP হেডার থেকে শুরু হয়, তাই VLAN-সচেতন নিয়ম যে প্রতিটি ফিল্ড আশা করে তা কেবল অনুপস্থিত।

ক্যাপচার নিয়ে তর্ক করার আগে ইন্টারফেসের ধরন নিশ্চিত করুন, কারণ একই স্থাপনায় থাকা একটি TAP ডিভাইস ভিন্নভাবে আচরণ করবে এবং ভুল সিদ্ধান্তে টানবে।

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

প্রথম কমান্ডটি ডিভাইসের ধরন ও তার ফ্ল্যাগ ছাপে। দ্বিতীয়টি প্রথম বিশটি প্যাকেটের লিংক-লেয়ার হেডার ছাপে, এবং TUN ডিভাইসে আউটপুট Ethernet ব্লক ছাড়া IP থেকে শুরু হয়, যা এক স্ক্রিনেই পুরো ব্যাখ্যা।

TAP বাছাই করলেও ট্যাগ ফিরে আসে না। একটি TAP ডিভাইস ফ্রেম ব্রিজে পাঠায়, এবং ট্যাগের কী হয় তা ব্রিজের VLAN ফিল্টারিং ও পোর্টের কনফিগার করা সদস্যতার উপর নির্ভর করে। এটি নিজস্ব ব্যর্থতার ধরনসহ একটি আলাদা ডিজাইন সিদ্ধান্ত।

তিনটি জায়গার একটিতে দাঁড়ান এবং এটি যা দেখতে পারে তা মেনে নিন

ব্রাঞ্চ Ethernet সেগমেন্টে ট্যাগ উপস্থিত, কিন্তু সেন্সর ওই সেগমেন্টের শুধু স্থানীয় ট্রাফিক দেখে। বাইরের VPN নেটওয়ার্কে ট্রাফিক সুরক্ষিত, তাই একজন পর্যবেক্ষক প্রান্তবিন্দু ও আয়তন জানেন, ভেতরের প্যাকেট সম্পর্কে কিছুই নয়। ডিক্রিপশনের পর TUN পথে ভেতরের IP প্যাকেট পাওয়া যায়, তার ঠিকানা ও পোর্টসহ, এবং ব্রাঞ্চ ফ্রেম ছাড়া। তাই একই প্রবাহের ট্রাঙ্কড ক্যাপচার ও রাউটেড ক্যাপচার দুটি আলাদা কথোপকথনের মতো দেখায়।

এই তিনটি অবস্থান তিনটি ভিন্ন প্রশ্নের উত্তর দেয়, এবং একটি ক্যাপচার একসাথে তিনটিই হতে পারে না।

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

জোড়াটি চালান ও তুলনা করুন। প্রথমটি ট্যাগযুক্ত ফ্রেম ও তাদের VLAN ID দেখায় যেখানে ব্রাঞ্চ লিংক হোস্টে ট্রাঙ্ক করা; দ্বিতীয়টি রাউটিংয়ের পর একই কথোপকথন সাধারণ IP হিসেবে দেখায়। প্রথমটি যদি কিছুই না ফেরায়, তবে হোস্ট পোর্টটি অ্যাক্সেস পোর্ট কি না দেখুন, কারণ তখন ট্যাগ সুইচ দ্বারা ইতিমধ্যেই সরানো হয়েছে এবং হোস্টে কোনো ক্যাপচারই এটি কখনো দেখাবে না।

অনুপস্থিত ট্যাগকে এমন ম্যাপিং দিয়ে প্রতিস্থাপন করুন যা আপনি সমর্থন করতে পারেন

যদি নীতি IP প্রিফিক্স দিয়ে সেগমেন্ট আলাদা করে, তবে সেই ম্যাপিং তার সীমাসহ লিখে রাখুন। ওভারল্যাপিং ঠিকানা পরিসর, সোর্স ট্রান্সলেশন এবং একটি ভাগ করা গেটওয়ে প্রত্যেকেই একটি প্রিফিক্সকে প্যাকেট সত্যিই কোথা থেকে এসেছে তা শনাক্ত করতে অপর্যাপ্ত করে তুলতে পারে।

আপনি যে ইন্টারফেস ও রাউটিং প্রসঙ্গ নিয়ন্ত্রণ করেন তাতে ভরসা করুন, ক্লায়েন্ট যে লেবেল দেয় তাতে নয়। পিয়ার যে হেডার ফিল্ড সেট করতে পারে তা সদস্যতার প্রমাণ নয়, এবং যে পরিদর্শন নিয়ম এটিকে তা হিসেবে ধরে নেয় তা সহজেই এড়িয়ে যাওয়া যায়।

ip route get 10.20.30.40
ip -br addr show

প্রথম কমান্ডটি জানায় কার্নেল কোনো গন্তব্যের জন্য কোন ইন্টারফেস ও সোর্স ব্যবহার করবে, যা সেগমেন্ট সংযুক্তির স্থানীয় দৃশ্য। দ্বিতীয়টি প্রতিটি ইন্টারফেসের ঠিকানা তালিকাভুক্ত করে যাতে আপনার ম্যাপিংয়ের প্রিফিক্সগুলো ডায়াগ্রামের বদলে বাস্তবতার সাথে যাচাই করা যায়।

ফলাফলে ভরসা করার আগে ফেরার পথ ও পেলোড যাচাই করুন

শুধু একটি দিক দেখে এমন পরিদর্শন বিন্দু অর্ধেক কথোপকথন মিস করবে, এবং VPN জড়িত হলেই অসমমিত রাউটিং সাধারণ। একপাক্ষিক ক্যাপচারকে সম্পূর্ণ গণ্য করার আগে নিশ্চিত করুন যে উত্তরগুলো একই সেন্সর দিয়ে যায়।

ভেতরের IP প্যাকেট উদ্ধার করলে তার ভেতরের HTTPS সেশনও ডিক্রিপ্ট হয় না। যদি নীতির প্রশ্ন প্রবাহের বদলে বিষয়বস্তু নিয়ে হয়, তবে সেন্সরের অবস্থান আবার সরাতে হবে, এবং সেই সিদ্ধান্ত একই ডিজাইন নথির অন্তর্গত।

শুধু একটি VLAN ফিল্ড দেখানোর জন্য সীমাহীন ট্রাঙ্ক সেন্সর পর্যন্ত বাড়ালে মূল প্রশ্নের উত্তর না দিয়েই নেটওয়ার্ক সীমানা বাড়ে। নীতির প্রয়োজনীয় তথ্যের জন্য অবস্থান বেছে নিন, এটি যা দেখতে পারে না তা লিখে রাখুন, এবং প্রশ্ন বদলালে বাছাইটি পুনর্বিবেচনা করুন।