Zašto vaš VPN senzor nikada ne vidi VLAN oznaku ogranka

Senzor na VPN strani vidi dvije VLAN mreže ogranaka kao običan IP saobraćaj, a oznaka koja je identifikovala svaki ogranak na njegovoj vlastitoj žici je nestala. To je ono što rutirani tunel radi: vraća pakete, a ne Ethernet okvire koji su ih dostavili. Da li nedostajuća oznaka ima značaj zavisi isključivo od pitanja koje postavljate senzoru. Prođite kroz četiri provjere ispod po redu i znaćete koja tačka posmatranja može odgovoriti na njega.

Prvo: utvrdite šta vaš tunel vraća

TUN interfejs prenosi IP pakete, pa se VLAN zaglavlje okvira ogranka zaustavlja na ruteru koji je gurnuo saobraćaj u tunel. TAP interfejs prenosi Ethernet okvire, što znači da oznake mogu preživjeti kada most i pravila propuštanja VLAN-a to dozvole. Pročitajte tip interfejsa prije nego što zaključujete šta snimak treba da sadrži.

Nijedan izbor nije defekt. Dva dizajna odgovaraju na različita pitanja i ostavljaju oznaku na različitim mjestima.

Provjerite interfejs sami umjesto da ga izvodite iz naziva proizvoda. Detalji veze imenuju vrstu uređaja i pokazuju zastavice koje su na snazi, a snimak uzet na TUN uređaju neće dobiti Ethernet zaglavlje samo zato što ste ga tražili. Ako se oznake ipak pojave na TUN snimku, gotovo sigurno čitate drugi interfejs ili tunel koji prenosi okvire unutar svog tereta. Zabilježite u kojem ste slučaju prije nego što nastavite.

Drugo: postavite senzor tamo gdje objekat još postoji

Tri položaja pokrivaju većinu rutiranih dizajna: Ethernet segment ogranka, vanjska mreža između krajnjih tačaka tunela i put nakon obrade tunela. Svaki vidi različit objekat, a oznaka postoji samo na prvom. Izbor položaja senzora je odluka o tome koji objekat politika traži, a ne pitanje praktičnosti.

Postavite pitanje politike u terminima na koje tabela može odgovoriti i ono se obično samo riješi. Ako pravilo treba da zna iz kojeg ogranka paket dolazi, mapiranje prefiksa nizvodno može biti dovoljno, ali samo dok je to mapiranje tačno i nedvosmisleno. Ako pravilo treba da zna na koji je port okvir stigao, potreban vam je prvi položaj, jer ništa nizvodno to ne može rekonstruisati. Senzori postavljeni iz navike, a ne iz pitanja, način su na koji timovi završe tražeći polje koje dizajn nikada nije nosio.

Tunel koji prenosi Ethernet je drugačiji dizajn i traži vlastitu provjeru šta krajnje tačke zadržavaju ili prepisuju. Samo biranje TAP-a još uvijek ne definiše most, pravila propuštanja VLAN-a ni politiku inspekcije.

Treće: zaslužite izvorni kontekst umjesto da mu vjerujete

Jedan raspon adresa po ogranku uobičajena je zamjena za VLAN identitet i vrijedi samo dok mapiranje ostaje jedan-na-jedan. Prefiksi koji se preklapaju, translacija i zajednički gateway svaki ruše tu pretpostavku na način koji izgleda kao problem kvaliteta podataka, a ne dizajna. Zapišite mapiranje s njegovim granicama i recite šta se dešava s paketom koji odgovara dva reda. Prefiks koji se pojavljuje u dva ogranka treba biti greška koju otkrijete, a ne bacanje novčića koje prihvatite.

Kontekst koji pruža klijent nije dokaz članstva. To je tvrdnja i pripada u drugu kolonu.

Gdje je razlika važna, koristite podatke o povezanosti koje kontrolišete: koja instanca tunela je prihvatila vezu, na koji interfejs su paketi stigli, šta lokalna ruta tabela kaže za tog partnera. Oznaka koju pruža klijent korisna je naznaka i beskorisni ulaz za autorizaciju. Ako senzor ne može utvrditi povezanost sa svoje strane, politici treba šire pravilo, a ne samouvjerena pretpostavka.

Četvrto: potvrdite put odgovora i šta dešifrovanje propušta

Senzor koji vidi samo jedan smjer i dalje može izgledati zdrav, jer zahtjevi stalno stižu po rasporedu. Provjerite put odgovora izričito i provjerite ga za isti tok, a ne za opštu dostupnost. Poludupleksna vidljivost postaje tiha praznina u svakom zaključku koji se oslanja na stanje.

Vraćanje unutrašnjeg IP saobraćaja takođe nije isto što i viđenje aplikacije unutar njega, jer TLS koji se prenosi tunelom ostaje TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Te dvije komande odgovaraju na pitanje interfejsa i pokazuju šta snimak zaista sadrži, što je brže od rasprave o arhitekturi. Zamijenite naziv interfejsa koji koristi vaš dizajn i pokrenite snimanje dok je tok koji vas zanima aktivan. Kada se na TUN uređaju ne pojavi oznaka, nalaz je da je dizajn rutirao umjesto da premošćuje, a ne da je senzor ispustio podatke. Zatim ili pomjerite senzor na položaj koji može vidjeti oznaku, ili prepišite pravilo u terminima koje trenutni položaj može podržati.