Γιατί ο αισθητήρας VPN σας δεν βλέπει ποτέ την ετικέτα VLAN του παραρτήματος

Ένας αισθητήρας στην πλευρά του VPN βλέπει δύο VLAN παραρτημάτων ως απλή κίνηση IP, και η ετικέτα που προσδιόριζε κάθε παράρτημα στο δικό του καλώδιο έχει εξαφανιστεί. Αυτό ακριβώς κάνει ένα δρομολογημένο τούνελ: ανακτά πακέτα, όχι τα πλαίσια Ethernet που τα παρέδωσαν. Το αν η απούσα ετικέτα έχει σημασία εξαρτάται απολύτως από την ερώτηση που θέτετε στον αισθητήρα. Εκτελέστε τους τέσσερις ελέγχους παρακάτω με τη σειρά και θα ξέρετε ποιο σημείο παρατήρησης μπορεί να την απαντήσει.

Πρώτον: καθορίστε τι ανακτά το τούνελ σας

Μια διεπαφή TUN μεταφέρει πακέτα IP, άρα η κεφαλίδα VLAN του πλαισίου παραρτήματος σταματά στον δρομολογητή που έσπρωξε την κίνηση στο τούνελ. Μια διεπαφή TAP μεταφέρει πλαίσια Ethernet, που σημαίνει ότι οι ετικέτες μπορούν να επιβιώσουν όταν η γέφυρα και οι κανόνες εισδοχής VLAN τις αφήνουν να περάσουν. Διαβάστε τον τύπο της διεπαφής πριν συλλογιστείτε τι θα έπρεπε να περιέχει μια καταγραφή.

Καμία από τις δύο επιλογές δεν είναι ελάττωμα. Οι δύο σχεδιάσεις απαντούν σε διαφορετικές ερωτήσεις και αφήνουν την ετικέτα σε διαφορετικά σημεία.

Επιβεβαιώστε τη διεπαφή μόνοι σας αντί να τη συμπεράνετε από το όνομα του προϊόντος. Οι λεπτομέρειες του συνδέσμου ονομάζουν τον τύπο της συσκευής και δείχνουν τις σημαίες που ισχύουν, και μια καταγραφή σε συσκευή TUN δεν θα αποκτήσει κεφαλίδα Ethernet επειδή απλώς τη ζητήσατε. Αν εμφανιστούν ετικέτες σε καταγραφή TUN, διαβάζετε σχεδόν σίγουρα άλλη διεπαφή ή ένα τούνελ που μεταφέρει πλαίσια μέσα στο φορτίο του. Σημειώστε σε ποια περίπτωση βρίσκεστε πριν συνεχίσετε.

Δεύτερον: τοποθετήστε τον αισθητήρα εκεί όπου το αντικείμενο υπάρχει ακόμη

Τρεις θέσεις καλύπτουν τις περισσότερες δρομολογημένες σχεδιάσεις: το τμήμα Ethernet του παραρτήματος, το εξωτερικό δίκτυο μεταξύ των άκρων του τούνελ και τη διαδρομή μετά την επεξεργασία του τούνελ. Η καθεμία βλέπει διαφορετικό αντικείμενο, και η ετικέτα υπάρχει μόνο στην πρώτη. Η επιλογή θέσης αισθητήρα είναι απόφαση για το ποιο αντικείμενο χρειάζεται η πολιτική, όχι ζήτημα ευκολίας.

Διατυπώστε την ερώτηση πολιτικής με όρους που μπορεί να απαντήσει ο πίνακας, και συνήθως λύνεται μόνη της. Αν ο κανόνας πρέπει να ξέρει από ποιο παράρτημα ήρθε ένα πακέτο, η αντιστοίχιση προθεμάτων πιο κάτω μπορεί να αρκεί, αλλά μόνο όσο αυτή η αντιστοίχιση είναι ακριβής και μονοσήμαντη. Αν ο κανόνας πρέπει να ξέρει σε ποια θύρα έφτασε το πλαίσιο, χρειάζεστε την πρώτη θέση, γιατί τίποτα πιο κάτω δεν μπορεί να το ανακατασκευάσει. Οι αισθητήρες που τοποθετούνται από συνήθεια αντί από ερώτηση είναι ο τρόπος με τον οποίο οι ομάδες καταλήγουν να απαιτούν ένα πεδίο που η σχεδίαση δεν μετέφερε ποτέ.

Ένα τούνελ που μεταφέρει Ethernet είναι διαφορετική σχεδίαση και χρειάζεται δικό του έλεγχο του τι διατηρούν ή ξαναγράφουν τα άκρα. Η επιλογή TAP από μόνη της δεν ορίζει ακόμη τη γέφυρα, τους κανόνες εισδοχής VLAN ή την πολιτική επιθεώρησης.

Τρίτον: κερδίστε το πλαίσιο προέλευσης αντί να το εμπιστεύεστε

Ένα εύρος διευθύνσεων ανά παράρτημα είναι το συνηθισμένο υποκατάστατο της ταυτότητας VLAN, και ισχύει μόνο όσο η αντιστοίχιση παραμένει ένα προς ένα. Επικαλυπτόμενα προθέματα, μετάφραση και κοινή πύλη σπάνε το καθένα αυτή την παραδοχή με τρόπο που μοιάζει με πρόβλημα ποιότητας δεδομένων και όχι σχεδίασης. Γράψτε την αντιστοίχιση μαζί με τα όριά της και πείτε τι συμβαίνει σε ένα πακέτο που ταιριάζει με δύο γραμμές. Ένα πρόθεμα που εμφανίζεται σε δύο παραρτήματα θα πρέπει να είναι σφάλμα που ανιχνεύετε, όχι ρίψη νομίσματος που δέχεστε.

Το πλαίσιο που παρέχει ο πελάτης δεν είναι απόδειξη ιδιότητας μέλους. Είναι ισχυρισμός και ανήκει σε άλλη στήλη.

Όπου η διάκριση έχει σημασία, χρησιμοποιήστε δεδομένα συσχέτισης που ελέγχετε: ποια παρουσία τούνελ δέχτηκε τη σύνδεση, σε ποια διεπαφή έφτασαν τα πακέτα, τι λέει ο τοπικός πίνακας δρομολόγησης για εκείνον τον ομότιμο. Μια ετικέτα που παρέχει ο πελάτης είναι χρήσιμη ένδειξη και άχρηστη είσοδος εξουσιοδότησης. Αν ο αισθητήρας δεν μπορεί να τεκμηριώσει τη συσχέτιση από τη δική του πλευρά, η πολιτική χρειάζεται ευρύτερο κανόνα αντί για μια σίγουρη εικασία.

Τέταρτον: επιβεβαιώστε τη διαδρομή απάντησης και τι χάνει η αποκρυπτογράφηση

Ένας αισθητήρας που βλέπει μόνο μία κατεύθυνση μπορεί να φαίνεται ακόμη υγιής, γιατί τα αιτήματα εξακολουθούν να φτάνουν στην ώρα τους. Ελέγξτε ρητά τη διαδρομή απάντησης, και ελέγξτε την για την ίδια ροή και όχι για γενική προσβασιμότητα. Η ορατότητα μισού duplex γίνεται σιωπηλό κενό σε κάθε συμπέρασμα με κατάσταση που βγάζετε από αυτήν.

Η ανάκτηση εσωτερικής κίνησης IP δεν είναι επίσης το ίδιο με το να βλέπεις την εφαρμογή μέσα της, γιατί το TLS που μεταφέρεται πάνω από το τούνελ παραμένει TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Αυτές οι δύο εντολές απαντούν στην ερώτηση της διεπαφής και δείχνουν τι πραγματικά περιέχει η καταγραφή, κάτι που είναι ταχύτερο από το να διαφωνείς για την αρχιτεκτονική. Αντικαταστήστε το όνομα διεπαφής που χρησιμοποιεί η σχεδίασή σας και εκτελέστε την καταγραφή όσο η ροή που σας ενδιαφέρει είναι ενεργή. Όταν δεν εμφανίζεται καμία ετικέτα σε συσκευή TUN, το εύρημα είναι ότι η σχεδίαση δρομολόγησε αντί να γεφυρώσει, όχι ότι ο αισθητήρας έχασε δεδομένα. Στη συνέχεια είτε μετακινήστε τον αισθητήρα σε θέση που μπορεί να δει την ετικέτα, είτε ξαναγράψτε τον κανόνα με όρους που μπορεί να υποστηρίξει η τρέχουσα θέση.