Pam nad yw cipiad VPN wedi’i lwybro byth yn dangos tag VLAN y gangen

Ni fydd cipiadau a gymerir ar ryngwyneb y twnnel byth yn dangos ID VLAN y gangen, ac mae hynny’n nodwedd o’r dyluniad yn hytrach nag yn fwlch yn yr offeryn. Mae twnnel TUN wedi’i lwybro yn cario pecynnau IP, felly mae’r ffrâm Ethernet wedi’i thagio a’u cludodd ar gyswllt y gangen yn gorffen wrth y llwybrydd a’u llwybrodd. Os yw cwestiwn eich polisi yn ymwneud â segmentau, rhaid dewis safle’r synhwyrydd ar gyfer y cwestiwn hwnnw cyn i’r cipiad ddechrau. Rhaid disodli’r maes VLAN yr oeddech yn ei ddisgwyl â chyd-destun y gallwch ei amddiffyn.

Edrychwch ar yr hyn y mae rhyngwyneb y twnnel yn ei gludo mewn gwirionedd

Mae TUN yn dosbarthu pecynnau IP i’r gwesteiwr; mae TAP yn dosbarthu fframiau Ethernet. Mae dyluniad wedi’i lwybro yn defnyddio’r cyntaf, sy’n golygu nad oes gan y pecyn sy’n cyrraedd ar ôl dadgryptio bennawd haen gyswllt o gwbl, ac felly nid oes tag 802.1Q i’w ddarllen. Ni chafodd dim ei ddiosg ar y ffordd, oherwydd ni chyrhaeddodd y tag y twnnel erioed. Mae’r pecyn mewnol yn dechrau wrth ei bennawd IP, felly mae pob maes y mae rheol sy’n ymwybodol o VLAN yn ei ddisgwyl yn syml yn absennol.

Cadarnhewch y math o ryngwyneb cyn dadlau am y cipiad, gan y bydd dyfais TAP yn yr un defnydd yn ymddwyn yn wahanol ac yn eich arwain at gasgliad anghywir.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Mae’r gorchymyn cyntaf yn argraffu math y ddyfais a’i baneri. Mae’r ail yn argraffu penawdau haen gyswllt ar gyfer yr ugain pecyn cyntaf, ac ar ddyfais TUN mae’r allbwn yn dechrau ar IP heb floc Ethernet, sef yr holl esboniad mewn un sgrin.

Nid yw dewis TAP yn adfer y tag chwaith. Mae dyfais TAP yn pasio fframiau i bont, ac mae’r hyn sy’n digwydd i’r tag yn dibynnu ar hidlo VLAN y bont ac aelodaeth y porthladd wedi’i ffurfweddu. Mae hynny’n benderfyniad dylunio ar wahân gyda’i foddau methu ei hun.

Sefwch mewn un o dri lle a derbyniwch yr hyn y gall ei weld

Ar segment Ethernet y gangen mae’r tag yn bresennol, ond dim ond traffig lleol ar y segment hwnnw y mae’r synhwyrydd yn ei weld. Ar y rhwydwaith VPN allanol mae’r traffig wedi’i amddiffyn, felly dim ond penau terfyn a chyfaint y mae arsylwyr yn eu dysgu, a dim byd am y pecyn mewnol. Ar lwybr TUN ar ôl dadgryptio mae’r pecyn IP mewnol ar gael, gyda’i gyfeiriannau a’i borthladdoedd, a heb ffrâm y gangen. Felly mae cipiad ar draws trwnc a chipiad wedi’i lwybro o’r un llif yn edrych fel dwy sgwrs wahanol.

Mae’r tri safle hynny’n ateb tri chwestiwn gwahanol, ac ni all un cipiad fod yn y tri ar unwaith.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Rhedwch y pâr a chymharwch. Mae’r cyntaf yn dangos fframiau wedi’u tagio a’u IDau VLAN lle mae cyswllt y gangen wedi’i drwnc i’r gwesteiwr; mae’r ail yn dangos yr un sgwrs fel IP plaen ar ôl llwybro. Os nad yw’r cyntaf yn dychwelyd dim, gwiriwch a yw porthladd y gwesteiwr yn borthladd mynediad, oherwydd yna mae’r tag eisoes wedi’i dynnu gan y switsh ac ni fydd unrhyw gipiad ar y gwesteiwr byth yn ei ddangos.

Disodlwch y tag coll gyda mapio y gallwch ei amddiffyn

Os yw’r polisi’n gwahaniaethu segmentau yn ôl rhagddodiad IP, ysgrifennwch y mapio hwnnw ynghyd â’i derfynau. Gall ystodau cyfeiriadau sy’n gorgyffwrdd, cyfieithu ffynhonnell a phorth cyffredin wneud un rhagddodiad yn annigonol i nodi o ble y daeth pecyn mewn gwirionedd.

Ymddiriedwch yn y rhyngwyneb a’r cyd-destun llwybro yr ydych yn eu rheoli, nid mewn label a ddarperir gan y cleient. Nid yw maes pennawd y gall cyfoed ei osod yn dystiolaeth o aelodaeth, ac mae rheol arolygu sy’n ei drin felly yn hawdd ei hosgoi.

ip route get 10.20.30.40
ip -br addr show

Mae’r gorchymyn cyntaf yn adrodd y rhyngwyneb a’r ffynhonnell y byddai’r cnewyllyn yn eu defnyddio ar gyfer cyrchfan, sef y golwg lleol ar atodiad segment. Mae’r ail yn rhestru cyfeiriadau fesul rhyngwyneb fel y gellir gwirio’r rhagddodiaid yn eich mapio yn erbyn realiti yn hytrach nag yn erbyn y diagram.

Gwiriwch y llwybr dychwelyd a’r llwyth tâl cyn ymddiried yn y canlyniad

Bydd pwynt arolygu sy’n gweld un cyfeiriad yn unig yn colli hanner y sgwrs, ac mae llwybro anghymesur yn gyffredin unwaith y bydd VPN yn rhan o’r darlun. Cadarnhewch fod atebion yn tramwyo’r un synhwyrydd cyn i chi drin cipiad unochrog fel un cyflawn.

Nid yw adfer y pecyn IP mewnol yn dadgryptio sesiwn HTTPS y tu mewn iddo chwaith. Os yw cwestiwn y polisi yn ymwneud â chynnwys yn hytrach na llifau, rhaid i safle’r synhwyrydd symud eto, ac mae’r penderfyniad hwnnw’n perthyn i’r un ddogfen ddylunio.

Mae estyn trwnc heb gyfyngiad i synhwyrydd dim ond i wneud i faes VLAN ymddangos yn helaethu ffin y rhwydwaith heb ateb y cwestiwn gwreiddiol. Dewiswch y safle ar gyfer y wybodaeth sydd ei hangen ar y polisi, cofnodwch yr hyn na all ei weld, ac ailymweld â’r dewis pan fydd y cwestiwn yn newid.