Γιατί μια καταγραφή σε δρομολογημένο VPN δεν δείχνει ποτέ την ετικέτα VLAN του κλάδου

Οι καταγραφές που λαμβάνονται στη διεπαφή της σήραγγας δεν θα δείξουν ποτέ το αναγνωριστικό VLAN του κλάδου, και αυτό είναι ιδιότητα του σχεδιασμού και όχι κενό του εργαλείου. Μια δρομολογημένη σήραγγα TUN μεταφέρει πακέτα IP, οπότε το επισημασμένο πλαίσιο Ethernet που τα μετέφερε στη ζεύξη του κλάδου τελειώνει στον δρομολογητή που τα δρομολόγησε. Αν το ερώτημα της πολιτικής σας αφορά τμήματα, η θέση του αισθητήρα πρέπει να επιλεγεί για αυτό το ερώτημα πριν ξεκινήσει η καταγραφή. Το πεδίο VLAN που περιμένατε πρέπει να αντικατασταθεί από πλαίσιο που μπορείτε να υπερασπιστείτε.

Δείτε τι μεταφέρει στην πραγματικότητα η διεπαφή της σήραγγας

Το TUN παραδίδει πακέτα IP στον υπολογιστή· το TAP παραδίδει πλαίσια Ethernet. Ένας δρομολογημένος σχεδιασμός χρησιμοποιεί το πρώτο, που σημαίνει ότι το πακέτο που φτάνει μετά την αποκρυπτογράφηση δεν έχει καθόλου κεφαλίδα επιπέδου ζεύξης, άρα ούτε ετικέτα 802.1Q για ανάγνωση. Τίποτα δεν αφαιρέθηκε στη διαδρομή, επειδή η ετικέτα δεν μπήκε ποτέ στη σήραγγα. Το εσωτερικό πακέτο αρχίζει από την κεφαλίδα IP του, οπότε κάθε πεδίο που περιμένει ένας κανόνας με επίγνωση VLAN απλώς απουσιάζει.

Επιβεβαιώστε τον τύπο της διεπαφής πριν διαφωνήσετε για την καταγραφή, αφού μια συσκευή TAP στην ίδια ανάπτυξη θα συμπεριφερθεί διαφορετικά και θα σας οδηγήσει σε λάθος συμπέρασμα.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Η πρώτη εντολή εκτυπώνει τον τύπο της συσκευής και τις σημαίες της. Η δεύτερη εκτυπώνει κεφαλίδες επιπέδου ζεύξης για τα πρώτα είκοσι πακέτα, και σε συσκευή TUN η έξοδος αρχίζει από IP χωρίς μπλοκ Ethernet, που είναι όλη η εξήγηση σε μία οθόνη.

Η επιλογή TAP δεν αποκαθιστά ούτε την ετικέτα. Μια συσκευή TAP προωθεί πλαίσια σε μια γέφυρα, και το τι συμβαίνει στην ετικέτα εξαρτάται από το φιλτράρισμα VLAN της γέφυρας και τη διαμορφωμένη ιδιότητα μέλους της θύρας. Αυτή είναι ξεχωριστή απόφαση σχεδιασμού με δικούς της τρόπους αποτυχίας.

Σταθείτε σε ένα από τρία σημεία και αποδεχθείτε τι μπορεί να δει

Στο τμήμα Ethernet του κλάδου η ετικέτα υπάρχει, αλλά ο αισθητήρας βλέπει μόνο τοπική κίνηση σε αυτό το τμήμα. Στο εξωτερικό δίκτυο VPN η κίνηση είναι προστατευμένη, οπότε ένας παρατηρητής μαθαίνει άκρα και όγκο και τίποτα για το εσωτερικό πακέτο. Στη διαδρομή TUN μετά την αποκρυπτογράφηση το εσωτερικό πακέτο IP είναι διαθέσιμο, με τη διευθυνσιοδότηση και τις θύρες του, και χωρίς το πλαίσιο του κλάδου. Επομένως μια καταγραφή σε trunk και μια δρομολογημένη καταγραφή της ίδιας ροής μοιάζουν με δύο διαφορετικές συζητήσεις.

Αυτές οι τρεις θέσεις απαντούν σε τρία διαφορετικά ερωτήματα, και μία μόνο καταγραφή δεν μπορεί να είναι όλες ταυτόχρονα.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Εκτελέστε το ζεύγος και συγκρίνετε. Η πρώτη δείχνει επισημασμένα πλαίσια και τα αναγνωριστικά VLAN τους όπου η ζεύξη του κλάδου είναι trunk προς τον υπολογιστή· η δεύτερη δείχνει την ίδια συζήτηση ως απλό IP μετά τη δρομολόγηση. Αν η πρώτη δεν επιστρέψει τίποτα, ελέγξτε αν η θύρα του υπολογιστή είναι θύρα πρόσβασης, γιατί τότε η ετικέτα έχει ήδη αφαιρεθεί από τον μεταγωγέα και καμία καταγραφή στον υπολογιστή δεν θα τη δείξει ποτέ.

Αντικαταστήστε την ετικέτα που λείπει με μια αντιστοίχιση που μπορείτε να υπερασπιστείτε

Αν η πολιτική διακρίνει τμήματα κατά πρόθεμα IP, γράψτε αυτή την αντιστοίχιση μαζί με τα όριά της. Επικαλυπτόμενες περιοχές διευθύνσεων, μετάφραση πηγής και κοινή πύλη μπορούν το καθένα να κάνουν ένα πρόθεμα ανεπαρκές για να προσδιοριστεί από πού ήρθε πραγματικά ένα πακέτο.

Εμπιστευτείτε τη διεπαφή και το πλαίσιο δρομολόγησης που ελέγχετε, όχι μια ετικέτα που παρέχει ο πελάτης. Ένα πεδίο κεφαλίδας που μπορεί να ορίσει ένας ομότιμος δεν είναι απόδειξη ιδιότητας μέλους, και ένας κανόνας επιθεώρησης που το αντιμετωπίζει ως τέτοιο παρακάμπτεται εύκολα.

ip route get 10.20.30.40
ip -br addr show

Η πρώτη εντολή αναφέρει τη διεπαφή και την πηγή που θα χρησιμοποιούσε ο πυρήνας για έναν προορισμό, που είναι η τοπική όψη της σύνδεσης τμήματος. Η δεύτερη παραθέτει διευθύνσεις ανά διεπαφή ώστε τα προθέματα στην αντιστοίχισή σας να ελέγχονται με την πραγματικότητα και όχι με το διάγραμμα.

Ελέγξτε τη διαδρομή επιστροφής και το ωφέλιμο φορτίο πριν εμπιστευτείτε το αποτέλεσμα

Ένα σημείο επιθεώρησης που βλέπει μόνο μία κατεύθυνση θα χάσει τη μισή συζήτηση, και η ασύμμετρη δρομολόγηση είναι συχνή μόλις εμπλακεί VPN. Επιβεβαιώστε ότι οι απαντήσεις περνούν από τον ίδιο αισθητήρα πριν θεωρήσετε μια μονόπλευρη καταγραφή πλήρη.

Η ανάκτηση του εσωτερικού πακέτου IP επίσης δεν αποκρυπτογραφεί μια συνεδρία HTTPS μέσα σε αυτό. Αν το ερώτημα της πολιτικής αφορά περιεχόμενο και όχι ροές, η θέση του αισθητήρα πρέπει να μετακινηθεί ξανά, και αυτή η απόφαση ανήκει στο ίδιο έγγραφο σχεδιασμού.

Το να επεκτείνετε έναν απεριόριστο trunk μέχρι έναν αισθητήρα μόνο για να εμφανιστεί ένα πεδίο VLAN μεγαλώνει το όριο του δικτύου χωρίς να απαντά στο αρχικό ερώτημα. Επιλέξτε τη θέση για τις πληροφορίες που χρειάζεται η πολιτική, καταγράψτε τι δεν μπορεί να δει, και επανεξετάστε την επιλογή όταν το ερώτημα αλλάξει.