Per què una captura de VPN encaminada mai no mostra l’etiqueta VLAN de la sucursal

Les captures preses a la interfície del túnel mai no mostraran l’ID de VLAN de la sucursal, i això és una propietat del disseny, no un buit de l’eina. Un túnel TUN encaminat transporta paquets IP, així que la trama Ethernet etiquetada que els portava a l’enllaç de la sucursal acaba al router que els va encaminar. Si la pregunta de la vostra política tracta de segments, la posició del sensor s’ha de triar per a aquesta pregunta abans que comenci la captura. El camp VLAN que esperàveu s’ha de substituir per context que pugueu defensar.

Mireu què transporta realment la interfície del túnel

TUN lliura paquets IP a l’amfitrió; TAP lliura trames Ethernet. Un disseny encaminat utilitza el primer, cosa que significa que el paquet que arriba després del desxifratge no té cap capçalera de capa d’enllaç, i per tant cap etiqueta 802.1Q per llegir. No es va eliminar res en trànsit, perquè l’etiqueta no va entrar mai al túnel. El paquet interior comença a la seva capçalera IP, així que tots els camps que espera una regla conscient de VLAN simplement estan absents.

Confirmeu el tipus d’interfície abans de discutir sobre la captura, ja que un dispositiu TAP al mateix desplegament es comportarà diferent i us portarà a una conclusió errònia.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

La primera ordre imprimeix el tipus de dispositiu i les seves banderes. La segona imprimeix les capçaleres de capa d’enllaç dels primers vint paquets, i en un dispositiu TUN la sortida comença a IP sense bloc Ethernet, que és tota l’explicació en una pantalla.

Triar TAP tampoc no restaura l’etiqueta. Un dispositiu TAP passa trames a un pont, i què passa amb l’etiqueta depèn del filtratge VLAN del pont i de la pertinença configurada del port. Aquesta és una decisió de disseny separada amb els seus propis modes de fallada.

Col·loqueu-vos en un dels tres llocs i accepteu què pot veure

Al segment Ethernet de la sucursal l’etiqueta hi és, però el sensor només veu el trànsit local d’aquell segment. A la xarxa VPN exterior el trànsit està protegit, així que un observador coneix els extrems i el volum i res del paquet interior. Al camí TUN després del desxifratge el paquet IP interior està disponible, amb el seu adreçament i ports, i sense la trama de la sucursal. Per tant, una captura en tronc i una captura encaminada del mateix flux semblen dues converses diferents.

Aquestes tres posicions responen tres preguntes diferents, i una sola captura no pot ser-ho tot alhora.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Executeu la parella i compareu. La primera mostra trames etiquetades i els seus ID de VLAN on l’enllaç de la sucursal està en tronc cap a l’amfitrió; la segona mostra la mateixa conversa com a IP pla després de l’encaminament. Si la primera no retorna res, comproveu si el port de l’amfitrió és un port d’accés, perquè llavors el commutador ja ha eliminat l’etiqueta i cap captura a l’amfitrió no la mostrarà mai.

Substituïu l’etiqueta absent per un mapatge que pugueu defensar

Si la política distingeix segments per prefix IP, anoteu aquest mapatge juntament amb els seus límits. Rangs d’adreces superposats, traducció d’origen i una passarel·la compartida poden fer cadascun que un sol prefix sigui insuficient per identificar d’on ve realment un paquet.

Confieu en la interfície i el context d’encaminament que controleu, no en una etiqueta que proporcioni el client. Un camp de capçalera que un parell pot establir no és prova de pertinença, i una regla d’inspecció que el tracta com a tal es pot evitar trivialment.

ip route get 10.20.30.40
ip -br addr show

La primera ordre informa de la interfície i la font que el nucli faria servir per a una destinació, que és la visió local de l’adjunció al segment. La segona llista les adreces per interfície perquè els prefixos del vostre mapatge es puguin comprovar contra la realitat i no contra el diagrama.

Comproveu el camí de tornada i la càrrega útil abans de confiar en el resultat

Un punt d’inspecció que només veu una direcció es perdrà la meitat de la conversa, i l’encaminament asimètric és habitual quan hi ha una VPN. Confirmeu que les respostes travessen el mateix sensor abans de considerar completa una captura unilateral.

Recuperar el paquet IP interior tampoc no desxifra una sessió HTTPS a dins. Si la pregunta de la política tracta del contingut i no dels fluxos, la posició del sensor s’ha de moure de nou, i aquesta decisió pertany al mateix document de disseny.

Estendre un tronc sense restriccions fins a un sensor només per fer aparèixer un camp VLAN amplia la frontera de la xarxa sense respondre la pregunta original. Trieu la posició per a la informació que necessita la política, anoteu què no pot veure i reviseu l’elecció quan la pregunta canviï.