Hvorfor en optagelse i en routet VPN aldrig viser filialens VLAN-tag

Optagelser foretaget på tunnelinterface vil aldrig vise filialens VLAN-ID, og det er en egenskab ved designet snarere end en mangel i værktøjet. En routet TUN-tunnel bærer IP-pakker, så den taggede Ethernet-ramme, der bar dem på filiallinket, ender ved den router, der routed dem. Hvis dit politikspørgsmål handler om segmenter, skal sensorpositionen vælges til det spørgsmål, før optagelsen starter. Det VLAN-felt, du forventede, skal erstattes af kontekst, du kan forsvare.

Se på, hvad tunnelinterfacet faktisk bærer

TUN leverer IP-pakker til værten; TAP leverer Ethernet-rammer. Et routet design bruger det første, hvilket betyder, at den pakke, der ankommer efter dekryptering, slet ikke har noget linklagsheader og derfor ingen 802.1Q-tag at læse. Intet blev strippet undervejs, fordi tagget aldrig kom ind i tunnelen. Den indre pakke begynder ved sit IP-header, så hvert felt, som en VLAN-bevidst regel forventer, mangler simpelthen.

Bekræft interfacetypen, før du diskuterer optagelsen, da en TAP-enhed i samme udrulning vil opføre sig anderledes og lede til den forkerte konklusion.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Den første kommando udskriver enhedstypen og dens flag. Den anden udskriver linklagsheadere for de første tyve pakker, og på en TUN-enhed begynder outputtet ved IP uden Ethernet-blok, hvilket er hele forklaringen på én skærm.

At vælge TAP gendanner heller ikke tagget. En TAP-enhed sender rammer til en bro, og hvad der sker med tagget, afhænger af broens VLAN-filtrering og portens konfigurerede medlemskab. Det er en separat designbeslutning med sine egne fejltilstande.

Stå på et af tre steder og accepter, hvad det kan se

På filialens Ethernet-segment er tagget til stede, men sensoren ser kun lokal trafik på det segment. På det ydre VPN-netværk er trafikken beskyttet, så en observatør lærer endepunkter og volumen og intet om den indre pakke. På TUN-stien efter dekryptering er den indre IP-pakke tilgængelig, med sin adressering og sine porte og uden filialrammen. Derfor ligner en optagelse på en trunk og en routet optagelse af samme flow to forskellige samtaler.

De tre positioner besvarer tre forskellige spørgsmål, og en enkelt optagelse kan ikke være dem alle på én gang.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Kør parret og sammenlign. Den første viser taggede rammer og deres VLAN-ID'er, hvor filiallinket er trunket til værten; den anden viser den samme samtale som almindelig IP efter routing. Hvis den første ikke returnerer noget, skal du kontrollere, om værtporten er en access-port, for så er tagget allerede fjernet af switchen, og ingen optagelse på værten vil nogensinde vise det.

Erstat det manglende tag med en mapping, du kan forsvare

Hvis politik skelner segmenter efter IP-præfiks, så skriv den mapping ned sammen med dens grænser. Overlappende adresseområder, kildetranslation og en delt gateway kan hver gøre ét præfiks utilstrækkeligt til at identificere, hvor en pakke faktisk kom fra.

Stol på det interface og den routingkontekst, du kontrollerer, ikke på en etiket, klienten leverer. Et headerfelt, en peer kan sætte, er ikke bevis for medlemskab, og en inspektionsregel, der behandler det som sådan, omgås trivielt.

ip route get 10.20.30.40
ip -br addr show

Den første kommando rapporterer det interface og den kilde, kernen ville bruge for en destination, hvilket er den lokale visning af segmenttilslutning. Den anden lister adresser pr. interface, så præfikserne i din mapping kan kontrolleres mod virkeligheden i stedet for mod diagrammet.

Kontroller returvejen og nyttelasten, før du stoler på resultatet

Et inspektionspunkt, der kun ser én retning, vil miste halvdelen af samtalen, og asymmetrisk routing er almindeligt, når en VPN er involveret. Bekræft, at svar passerer samme sensor, før du betragter en ensidig optagelse som komplet.

At gendanne den indre IP-pakke dekrypterer heller ikke en HTTPS-session inde i den. Hvis politikspørgsmålet handler om indhold snarere end flows, skal sensorpositionen flyttes igen, og den beslutning hører til samme designdokument.

At forlænge en ubegrænset trunk til en sensor blot for at få et VLAN-felt til at fremstå udvider netværksgrænsen uden at besvare det oprindelige spørgsmål. Vælg positionen til den information, politikken har brug for, notér hvad den ikke kan se, og tag valget op igen, når spørgsmålet ændrer sig.