Per què el vostre sensor VPN no veu mai l’etiqueta VLAN de la branca

Un sensor al costat de la VPN veu dues VLAN de branca com a trànsit IP pla, i l’etiqueta que identificava cada branca al seu propi cable ha desaparegut. Això és el que fa un túnel encaminat: recupera paquets, no les trames Ethernet que els van lliurar. Si l’etiqueta que falta té importància depèn del tot de la pregunta que feu al sensor. Feu les quatre comprovacions següents en ordre i sabreu quin punt d’observació pot respondre-hi.

Primer: establiu què recupera el vostre túnel

Una interfície TUN transporta paquets IP, així que la capçalera VLAN de la trama de branca s’atura al router que va empènyer el trànsit al túnel. Una interfície TAP transporta trames Ethernet, cosa que vol dir que les etiquetes poden sobreviure quan el pont i les regles d’admissió de VLAN les deixen passar. Llegiu el tipus d’interfície abans de raonar sobre què hauria de contenir una captura.

Cap de les dues opcions no és un defecte. Els dos dissenys responen preguntes diferents i deixen l’etiqueta en llocs diferents.

Confirmeu la interfície vosaltres mateixos en lloc d’inferir-la del nom del producte. Els detalls de l’enllaç anomenen el tipus de dispositiu i mostren els indicadors vigents, i una captura feta en un dispositiu TUN no guanyarà una capçalera Ethernet només perquè l’hàgiu demanada. Si apareixen etiquetes en una captura TUN, gairebé segur que esteu llegint una altra interfície o un túnel que transporta trames dins de la seva càrrega útil. Anoteu en quin cas us trobeu abans de continuar.

Segon: col·loqueu el sensor on l’objecte encara existeix

Tres posicions cobreixen la majoria de dissenys encaminats: el segment Ethernet de la branca, la xarxa exterior entre els extrems del túnel i el camí després del processament del túnel. Cadascuna veu un objecte diferent, i l’etiqueta només existeix a la primera. Triar una posició de sensor és una decisió sobre quin objecte necessita la política, no una qüestió de comoditat.

Plantegeu la pregunta de política en termes que la taula pugui respondre, i normalment es resol sola. Si la regla ha de saber de quina branca ve un paquet, el mapatge de prefixos aigües avall pot ser suficient, però només mentre aquest mapatge sigui exacte i inequívoc. Si la regla ha de saber per quin port ha arribat la trama, us cal la primera posició, perquè res aigües avall no ho pot reconstruir. Els sensors col·locats per costum i no per pregunta són la manera com els equips acaben exigint un camp que el disseny mai no va portar.

Un túnel que transporta Ethernet és un disseny diferent i necessita la seva pròpia comprovació de què preserven o reescriuen els extrems. Triar TAP per si sol encara no defineix el pont, les regles d’admissió de VLAN ni la política d’inspecció.

Tercer: guanyeu el context d’origen en lloc de confiar-hi

Un rang d’adreces per branca és el substitut habitual de la identitat VLAN, i només es manté mentre el mapatge continua sent un a un. Prefixos solapats, traducció i una passarel·la compartida trenquen cadascun aquest supòsit d’una manera que sembla un problema de qualitat de dades i no de disseny. Escriviu el mapatge amb els seus límits i digueu què passa amb un paquet que coincideix amb dues files. Un prefix que apareix en dues branques hauria de ser un error que detecteu, no un llançament de moneda que accepteu.

El context que proporciona el client no és prova de pertinença. És una afirmació, i pertoca en una altra columna.

On la distinció importa, feu servir dades d’associació que controleu: quina instància de túnel va acceptar la connexió, a quina interfície van arribar els paquets, què diu la taula d’encaminament local d’aquell parell. Una etiqueta proporcionada pel client és un indici útil i una entrada d’autorització inútil. Si el sensor no pot establir l’associació des del seu costat, la política necessita una regla més àmplia i no una suposició confiada.

Quart: confirmeu el camí de resposta i què deixa escapar el desxifratge

Un sensor que només veu una direcció encara pot semblar sa, perquè les peticions continuen arribant a l’hora. Comproveu el camí de resposta explícitament, i comproveu-lo per al mateix flux i no per a l’abast general. La visibilitat de mitja duplex es converteix en un buit silenciós en qualsevol conclusió amb estat que en traieu.

Recuperar el trànsit IP intern tampoc no és el mateix que veure l’aplicació a dins, perquè el TLS transportat pel túnel continua sent TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Aquestes dues ordres responen la pregunta de la interfície i mostren què conté realment la captura, cosa que és més ràpida que discutir sobre l’arquitectura. Substituïu el nom d’interfície que fa servir el vostre disseny i executeu la captura mentre el flux que us interessa és actiu. Quan no apareix cap etiqueta en un dispositiu TUN, la troballa és que el disseny va encaminar en lloc de pontar, no que el sensor hagi perdut dades. Llavors, o moveu el sensor a una posició que pugui veure l’etiqueta, o reescriviu la regla en termes que la posició actual pugui suportar.