Warum ein Mitschnitt in einem gerouteten VPN das VLAN-Tag der Filiale nie zeigt

Mitschnitte auf der Tunnel-Schnittstelle werden die VLAN-ID der Filiale nie zeigen, und das ist eine Eigenschaft des Designs und keine Lücke im Werkzeug. Ein gerouteter TUN-Tunnel überträgt IP-Pakete, daher endet der getaggte Ethernet-Frame, der sie auf der Filialstrecke trug, an dem Router, der sie geroutet hat. Wenn Ihre Richtlinienfrage Segmente betrifft, muss die Sensorposition für diese Frage gewählt werden, bevor der Mitschnitt beginnt. Das VLAN-Feld, das Sie erwartet haben, muss durch Kontext ersetzt werden, den Sie verteidigen können.

Schauen Sie, was die Tunnel-Schnittstelle tatsächlich überträgt

TUN liefert IP-Pakete an den Host; TAP liefert Ethernet-Frames. Ein geroutetes Design nutzt Ersteres, was bedeutet, dass das nach der Entschlüsselung ankommende Paket überhaupt keinen Link-Layer-Header hat und daher kein 802.1Q-Tag zum Lesen. Unterwegs wurde nichts entfernt, weil das Tag nie in den Tunnel gelangte. Das innere Paket beginnt an seinem IP-Header, daher fehlt jedes Feld, das eine VLAN-bewusste Regel erwartet, schlicht.

Bestätigen Sie den Schnittstellentyp, bevor Sie über den Mitschnitt streiten, denn ein TAP-Gerät im selben Deployment verhält sich anders und führt zur falschen Schlussfolgerung.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Der erste Befehl gibt den Gerätetyp und seine Flags aus. Der zweite gibt Link-Layer-Header für die ersten zwanzig Pakete aus, und auf einem TUN-Gerät beginnt die Ausgabe bei IP ohne Ethernet-Block, was die ganze Erklärung auf einem Bildschirm ist.

TAP zu wählen stellt das Tag auch nicht wieder her. Ein TAP-Gerät leitet Frames an eine Bridge weiter, und was mit dem Tag geschieht, hängt von der VLAN-Filterung der Bridge und der konfigurierten Mitgliedschaft des Ports ab. Das ist eine separate Designentscheidung mit eigenen Fehlermodi.

Stellen Sie sich an einen von drei Orten und akzeptieren Sie, was er sehen kann

Auf dem Ethernet-Segment der Filiale ist das Tag vorhanden, aber der Sensor sieht nur lokalen Verkehr auf diesem Segment. Im äußeren VPN-Netz ist der Verkehr geschützt, sodass ein Beobachter Endpunkte und Volumen erfährt und nichts über das innere Paket. Auf dem TUN-Pfad nach der Entschlüsselung ist das innere IP-Paket verfügbar, mit seiner Adressierung und seinen Ports und ohne den Filial-Frame. Daher sehen ein Mitschnitt am Trunk und ein gerouteter Mitschnitt desselben Flusses wie zwei verschiedene Gespräche aus.

Diese drei Positionen beantworten drei verschiedene Fragen, und ein einzelner Mitschnitt kann nicht alle zugleich sein.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Führen Sie das Paar aus und vergleichen Sie. Das erste zeigt getaggte Frames und ihre VLAN-IDs, wo die Filialstrecke zum Host getrunkt ist; das zweite zeigt dasselbe Gespräch als einfaches IP nach dem Routing. Wenn das erste gar nichts zurückgibt, prüfen Sie, ob der Host-Port ein Access-Port ist, denn dann wurde das Tag bereits vom Switch entfernt und kein Mitschnitt auf dem Host wird es je zeigen.

Ersetzen Sie das fehlende Tag durch eine Zuordnung, die Sie verteidigen können

Wenn die Richtlinie Segmente nach IP-Präfix unterscheidet, schreiben Sie diese Zuordnung zusammen mit ihren Grenzen auf. Überlappende Adressbereiche, Quellübersetzung und ein gemeinsames Gateway können jeweils ein einzelnes Präfix unzureichend machen, um zu bestimmen, woher ein Paket wirklich kam.

Vertrauen Sie der Schnittstelle und dem Routing-Kontext, die Sie kontrollieren, nicht einem Label, das der Client liefert. Ein Header-Feld, das ein Peer setzen kann, ist kein Nachweis der Mitgliedschaft, und eine Prüfregel, die es als solchen behandelt, lässt sich trivial umgehen.

ip route get 10.20.30.40
ip -br addr show

Der erste Befehl meldet die Schnittstelle und die Quelle, die der Kernel für ein Ziel verwenden würde, was die lokale Sicht der Segmentanbindung ist. Der zweite listet Adressen pro Schnittstelle auf, damit die Präfixe in Ihrer Zuordnung gegen die Realität statt gegen das Diagramm geprüft werden können.

Prüfen Sie den Rückweg und die Nutzlast, bevor Sie dem Ergebnis vertrauen

Ein Prüfpunkt, der nur eine Richtung sieht, verpasst die Hälfte des Gesprächs, und asymmetrisches Routing ist üblich, sobald ein VPN beteiligt ist. Bestätigen Sie, dass Antworten denselben Sensor passieren, bevor Sie einen einseitigen Mitschnitt als vollständig betrachten.

Das Wiederherstellen des inneren IP-Pakets entschlüsselt auch keine HTTPS-Sitzung darin. Wenn die Richtlinienfrage Inhalt statt Flüsse betrifft, muss die Sensorposition erneut wechseln, und diese Entscheidung gehört in dasselbe Designdokument.

Einen unbeschränkten Trunk bis zu einem Sensor zu verlängern, nur damit ein VLAN-Feld erscheint, vergrößert die Netzgrenze, ohne die ursprüngliche Frage zu beantworten. Wählen Sie die Position für die Information, die die Richtlinie braucht, halten Sie fest, was sie nicht sehen kann, und überdenken Sie die Wahl, wenn sich die Frage ändert.