Pam na fydd eich synhwyrydd VPN byth yn gweld tag VLAN y gangen

Mae synhwyrydd ar ochr y VPN yn gweld dau VLAN cangen fel traffig IP plaen, ac mae’r tag a oedd yn nodi pob cangen ar ei gwifren ei hun wedi diflannu. Dyna beth mae twnel llwybremol yn ei wneud: mae’n adfer pecynnau, nid y fframiau Ethernet a’u danfonodd. Mae a yw’r tag coll yn bwysig yn dibynnu’n gyfan gwbl ar y cwestiwn rydych chi’n ei ofyn i’r synhwyrydd. Ewch drwy’r pedair archwiliad isod yn eu trefn a byddwch yn gwybod pa bwynt arsylwi all ateb hynny.

Yn gyntaf: sefwch beth mae eich twnel yn ei adfer

Mae rhyngwyneb TUN yn cludo pecynnau IP, felly mae pennawd VLAN y ffram cangen yn stopio wrth y llwybrydd a wthiodd y traffig i’r twnel. Mae rhyngwyneb TAP yn cludo fframiau Ethernet, sy’n golygu y gall tagiau oroesi pan fydd y bont a’r rheolau derbyn VLAN yn caniatáu iddynt basio. Darllenwch y math o ryngwyneb cyn rhesymu beth ddylai cipiad ei gynnwys.

Nid yw’r naill ddewis na’r llall yn ddiffyg. Mae’r ddau gynllun yn ateb cwestiynau gwahanol ac yn gadael y tag mewn llefydd gwahanol.

Cadarnhewch y rhyngwyneb eich hun yn lle ei gasglu o enw’r cynnyrch. Mae manylion y cyswllt yn enwi’r math o ddyfais ac yn dangos y fflagiau sydd mewn grym, ac ni fydd cipiad a gymerwyd ar ddyfais TUN yn ennill pennawd Ethernet dim ond oherwydd i chi ofyn am un. Os yw tagiau yn ymddangos ar gipiad TUN, rydych bron yn sicr yn darllen rhyngwyneb arall neu dwnel sy’n cludo fframiau o fewn ei lwyth. Nodwch pa achos sy’n berthnasol cyn parhau.

Yn ail: rhowch y synhwyrydd lle mae’r gwrthrych yn bodoli o hyd

Mae tri safle yn cwmpasu’r rhan fwyaf o gynlluniau llwybremol: segment Ethernet y gangen, y rhwydwaith allanol rhwng pennau’r twnel, a’r llwybr wedi prosesu’r twnel. Mae pob un yn gweld gwrthrych gwahanol, ac mae’r tag ond yn bodoli yn y cyntaf. Mae dewis safle synhwyrydd yn benderfyniad ynghylch pa wrthrych sydd ei angen ar y polisi, nid yn fater o hwylustod.

Gofynnwch gwestiwn y polisi mewn termau y gall y tabl eu hateb, ac mae fel arfer yn datrys ei hun. Os oes angen i’r rheol wybod o ba gangen y daeth pecyn, gall mapio rhagddodiaid i lawr y llwybr fod yn ddigon, ond dim ond tra bo’r mapio hwnnw’n gywir ac yn ddiamwys. Os oes angen i’r rheol wybod ar ba borth y cyrhaeddodd y ffram, mae angen y safle cyntaf arnoch, oherwydd ni all dim i lawr y llwybr ei ail-greu. Synwyryddion a osodir o arfer yn hytrach nag o gwestiwn yw’r ffordd y mae timau’n gorffen galw am faes na chludodd y cynllun erioed.

Mae twnel sy’n cludo Ethernet yn gynllun gwahanol ac mae angen ei archwiliad ei hun o’r hyn mae’r pennau’n ei gadw neu’n ei ailysgrifennu. Nid yw dewis TAP ar ei ben ei hun yn diffinio’r bont, y rheolau derbyn VLAN na’r polisi arolygu.

Yn drydydd: enillwch gyd-destun y ffynhonnell yn lle ymddiried ynddo

Un amrediad cyfeiriadau i bob cangen yw’r dirprwy arferol am hunaniaeth VLAN, ac nid yw’n dal ond tra bo’r mapio’n parhau’n un i un. Mae rhagddodiaid sy’n gorgyffwrdd, cyfieithu a phorth cyffredin pob un yn torri’r dybiaeth honno mewn ffordd sy’n edrych fel problem ansawdd data yn hytrach na phroblem cynllun. Ysgrifennwch y mapio gyda’i ffiniau a dywedwch beth sy’n digwydd i becyn sy’n cyfateb i ddwy res. Dylai rhagddodiad sy’n ymddangos mewn dwy gangen fod yn wall rydych yn ei ganfod, nid yn dafliad ceiniog rydych yn ei dderbyn.

Nid yw’r cyd-destun a ddarperir gan y cleient yn dystiolaeth o aelodaeth. Mae’n honiad, ac mae’n perthyn mewn colofn wahanol.

Lle mae’r gwahaniaeth yn bwysig, defnyddiwch ddata cysylltu rydych yn ei reoli: pa achos twnel a dderbyniodd y cysylltiad, ar ba ryngwyneb y cyrhaeddodd y pecynnau, beth mae’r tabl llwybro lleol yn ei ddweud am y cymar hwnnw. Mae label a ddarperir gan y cleient yn awgrym defnyddiol ac yn fewnbwn awdurdodi diwerth. Os na all y synhwyrydd sefydlu’r cysylltiad o’i ochr ei hun, mae angen rheol ehangach ar y polisi yn hytrach na dyfaliad hyderus.

Yn bedwerydd: cadarnhewch lwybr yr ateb a’r hyn mae dadgryptio’n ei fethu

Gall synhwyrydd sy’n gweld un cyfeiriad yn unig edrych yn iach o hyd, oherwydd mae ceisiadau’n dal i gyrraedd ar amser. Archwiliwch lwybr yr ateb yn benodol, ac archwiliwch ef ar gyfer yr un llif yn hytrach nag ar gyfer cyrraedd cyffredinol. Mae gwelededd hanner-deuol yn dod yn fwlch tawel yn unrhyw gasgliad cyflwr a dynnwch ohono.

Nid yw adfer traffig IP mewnol yr un peth chwaith â gweld y cymhwysiad y tu fewn iddo, oherwydd mae TLS a gludir dros y twnel yn parhau’n TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Mae’r ddau orchymyn hynny’n ateb cwestiwn y rhyngwyneb ac yn dangos beth sydd mewn gwirionedd yn y cipiad, sy’n gyflymach na dadlau am y bensaernïaeth. Amnewidiwch yr enw rhyngwyneb mae eich cynllun yn ei ddefnyddio a rhedwch y cipiad tra bo’r llif sy’n bwysig i chi yn weithredol. Pan nad yw tag yn ymddangos ar ddyfais TUN, y canfyddiad yw bod y cynllun wedi llwybro yn lle pontio, nid bod y synhwyrydd wedi gollwng data. Yna naill ai symudwch y synhwyrydd i safle sy’n gallu gweld y tag, neu ailysgrifennwch y rheol mewn termau y gall y safle presennol eu cynnal.