Proč zachycení v routed VPN nikdy neukáže VLAN značku pobočky

Zachycování pořízená na rozhraní tunelu nikdy neukážou VLAN ID pobočky, a to je vlastnost návrhu, ne mezera v nástroji. Routed tunel TUN přenáší IP pakety, takže značkovaný Ethernet rámec, který je nesl na lince pobočky, končí na routeru, který je směroval. Pokud se váš dotaz politiky týká segmentů, musí být pozice senzoru pro tento dotaz zvolena dřív, než zachycení začne. Pole VLAN, které jste očekávali, musí být nahrazeno kontextem, který dokážete obhájit.

Podívejte se, co rozhraní tunelu skutečně přenáší

TUN doručuje IP pakety hostiteli; TAP doručuje Ethernet rámce. Routed návrh používá první možnost, což znamená, že paket, který dorazí po dešifrování, nemá vůbec žádnou hlavičku linkové vrstvy, a tedy žádnou značku 802.1Q ke čtení. Nic nebylo cestou odstraněno, protože značka nikdy do tunelu nevstoupila. Vnitřní paket začíná svou IP hlavičkou, takže každé pole, které pravidlo s ohledem na VLAN očekává, prostě chybí.

Než začnete o zachycení diskutovat, potvrďte typ rozhraní, protože zařízení TAP ve stejném nasazení se bude chovat jinak a svádět k chybnému závěru.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

První příkaz vypíše druh zařízení a jeho příznaky. Druhý vypíše hlavičky linkové vrstvy pro prvních dvacet paketů a na zařízení TUN výstup začíná IP bez Ethernet bloku, což je celé vysvětlení na jedné obrazovce.

Volba TAP značku také neobnoví. Zařízení TAP předává rámce mostu a co se se značkou stane, závisí na VLAN filtrování mostu a nakonfigurovaném členství portu. To je samostatné návrhové rozhodnutí s vlastními režimy selhání.

Postavte se na jedno ze tří míst a přijměte, co může vidět

Na Ethernet segmentu pobočky je značka přítomna, ale senzor vidí jen místní provoz na tomto segmentu. Na vnější síti VPN je provoz chráněn, takže pozorovatel zjistí koncové body a objem a nic o vnitřním paketu. Na cestě TUN po dešifrování je vnitřní IP paket dostupný, se svým adresováním a porty a bez rámce pobočky. Proto zachycení na trunku a routed zachycení stejného toku vypadají jako dvě různé konverzace.

Tyto tři pozice odpovídají na tři různé otázky a jediné zachycení nemůže být všemi najednou.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Spusťte oba příkazy a porovnejte. První ukazuje značkované rámce a jejich VLAN ID tam, kde je linka pobočky trunkem k hostiteli; druhý ukazuje stejnou konverzaci jako prosté IP po směrování. Pokud první nevrátí nic, zkontrolujte, zda je port hostitele přístupovým portem, protože pak značku už odstranil switch a žádné zachycení na hostiteli ji nikdy neukáže.

Nahraďte chybějící značku mapováním, které dokážete obhájit

Pokud politika rozlišuje segmenty podle IP prefixu, zapište toto mapování spolu s jeho limity. Překrývající se rozsahy adres, překlad zdroje a sdílená brána mohou každé způsobit, že jeden prefix nestačí k určení, odkud paket skutečně přišel.

Věřte rozhraní a kontextu směrování, které ovládáte, ne označení, které dodá klient. Pole hlavičky, které peer může nastavit, není důkazem členství a inspekční pravidlo, které ho tak bere, se snadno obejde.

ip route get 10.20.30.40
ip -br addr show

První příkaz hlásí rozhraní a zdroj, které by jádro použilo pro cíl, což je místní pohled na připojení segmentu. Druhý vypisuje adresy po rozhraních, aby se prefixy ve vašem mapování daly zkontrolovat proti realitě, ne proti diagramu.

Před důvěrou ve výsledek zkontrolujte zpáteční cestu a užitečné zatížení

Inspekční bod, který vidí jen jeden směr, mine polovinu konverzace a asymetrické směrování je běžné, jakmile je zapojen VPN. Než jednostranné zachycení považujete za úplné, potvrďte, že odpovědi procházejí stejným senzorem.

Obnovení vnitřního IP paketu také nedešifruje relaci HTTPS uvnitř něj. Pokud se dotaz politiky týká obsahu, ne toků, musí se pozice senzoru znovu posunout, a toto rozhodnutí patří do stejného návrhového dokumentu.

Rozšíření neomezeného trunku k senzoru jen proto, aby se objevilo pole VLAN, zvětšuje síťovou hranici, aniž by odpovědělo na původní otázku. Zvolte pozici pro informace, které politika potřebuje, zaznamenejte, co nevidí, a volbu znovu zvažte, když se otázka změní.