Proč váš VPN senzor nikdy neuvidí VLAN značku pobočky

Senzor na straně VPN vidí dvě VLAN poboček jako běžný IP provoz a značka, která každou pobočku identifikovala na jejím vlastním drátu, je pryč. To je přesně to, co směrovaný tunel dělá: obnovuje pakety, nikoli Ethernetové rámce, které je doručily. Zda chybějící značka vadí, závisí zcela na otázce, kterou senzoru kladete. Projděte čtyři níže uvedené kontroly popořadě a budete vědět, které pozorovací místo na ni dokáže odpovědět.

Za prvé: zjistěte, co váš tunel obnovuje

Rozhraní TUN přenáší IP pakety, takže VLAN hlavička rámce pobočky končí na směrovači, který provoz do tunelu vtlačil. Rozhraní TAP přenáší Ethernetové rámce, což znamená, že značky mohou přežít, když je most a pravidla pro vpuštění VLAN propustí. Přečtěte si typ rozhraní, než budete uvažovat o tom, co má záznam obsahovat.

Ani jedna z voleb není závada. Obě konstrukce odpovídají na různé otázky a nechávají značku na různých místech.

Ověřte rozhraní sami, místo abyste ho odvozovali z názvu produktu. Podrobnosti spojení uvádějí druh zařízení a zobrazují platné příznaky, a záznam pořízený na zařízení TUN nedostane Ethernetovou hlavičku jen proto, že jste o ni požádali. Pokud se na záznamu z TUN přesto objeví značky, téměř jistě čtete jiné rozhraní nebo tunel, který přenáší rámce uvnitř svého užitečného zatížení. Než budete pokračovat, poznamenejte si, o který případ jde.

Za druhé: umístěte senzor tam, kde objekt ještě existuje

Tři pozice pokrývají většinu směrovaných konstrukcí: Ethernetový segment pobočky, vnější síť mezi koncovými body tunelu a cestu po zpracování tunelu. Každá vidí jiný objekt a značka existuje jen na první z nich. Volba pozice senzoru je rozhodnutí o tom, který objekt politika potřebuje, ne otázka pohodlí.

Položte otázku politiky v podobě, na kterou tabulka umí odpovědět, a obvykle se vyřeší sama. Pokud pravidlo potřebuje vědět, ze které pobočky paket přišel, může stačit mapování předpon níže, ale jen dokud je toto mapování přesné a jednoznačné. Pokud pravidlo potřebuje vědět, na který port rámec dorazil, potřebujete první pozici, protože nic níže to nedokáže rekonstruovat. Senzory umístěné ze zvyku místo z otázky jsou důvod, proč týmy nakonec požadují pole, které konstrukce nikdy nenesla.

Tunel přenášející Ethernet je jiná konstrukce a vyžaduje vlastní kontrolu toho, co koncové body zachovávají nebo přepisují. Samotná volba TAP stále nedefinuje most, pravidla pro vpuštění VLAN ani politiku inspekce.

Za třetí: zaslužte si kontext zdroje, místo abyste mu věřili

Jeden adresní rozsah na pobočku je obvyklá náhrada identity VLAN a platí jen dokud mapování zůstává jedna ku jedné. Překrývající se předpony, překlad a sdílená brána každá toto předpoklady porušují způsobem, který vypadá jako problém kvality dat, nikoli konstrukce. Zapište mapování s jeho hranicemi a řekněte, co se stane s paketem, který odpovídá dvěma řádkům. Předpona, která se objeví ve dvou pobočkách, by měla být chybou, kterou odhalíte, ne hodem mincí, který přijmete.

Kontext poskytnutý klientem není důkazem členství. Je to tvrzení a patří do jiného sloupce.

Tam, kde na rozdílu záleží, použijte asociační data, která kontrolujete: která instance tunelu spojení přijala, na které rozhraní pakety dorazily, co o tom protějšku říká místní směrovací tabulka. Štítek poskytnutý klientem je užitečný podnět a nepoužitelný vstup pro autorizaci. Pokud senzor nedokáže asociaci stanovit z vlastní strany, potřebuje politika širší pravidlo, nikoli sebevědomý odhad.

Za čtvrté: ověřte cestu odpovědi a co dešifrování mine

Senzor, který vidí jen jeden směr, může stále vypadat zdravě, protože požadavky přicházejí podle plánu. Ověřte cestu odpovědi výslovně a ověřte ji pro stejný tok, ne pro obecnou dostupnost. Poloduplexní viditelnost se stává tichou mezerou v každém stavovém závěru, který z ní vyvodíte.

Obnovení vnitřního IP provozu také není totéž jako vidět aplikaci uvnitř něj, protože TLS přenášené tunelem zůstává TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Tyto dva příkazy odpovídají na otázku rozhraní a ukazují, co záznam skutečně obsahuje, což je rychlejší než dohadovat se o architektuře. Nahraďte název rozhraní, který používá vaše konstrukce, a spusťte záznam, dokud je tok, který vás zajímá, aktivní. Když se na zařízení TUN neobjeví žádná značka, zjištění je, že konstrukce směrovala místo přemostění, nikoli že senzor zahodil data. Pak buď přesuňte senzor na pozici, která značku vidí, nebo přepište pravidlo v podobě, kterou současná pozice dokáže podpořit.