Kial retumo de enkursigita VPN neniam montras la VLAN-etikedon de la filio

Retumoj faritaj sur la tunela interfaco neniam montros la VLAN-ID de la filio, kaj tio estas eco de la dezajno, ne manko en la ilo. Enkursigita TUN-tunelo portas IP-paketojn, do la etikedigita Ethernet-kadro, kiu portis ilin sur la filia ligo, finiĝas ĉe la enkursigilo, kiu enkursigis ilin. Se via politika demando temas pri segmentoj, la sensila pozicio devas esti elektita por tiu demando antaŭ ol la retumo komenciĝas. La VLAN-kampo, kiun vi atendis, devas esti anstataŭigita per kunteksto, kiun vi povas defendi.

Rigardu, kion la tunela interfaco efektive portas

TUN transdonas IP-paketojn al la gastiganto; TAP transdonas Ethernet-kadrojn. Enkursigita dezajno uzas la unuan, kio signifas, ke la paketo alvenanta post malĉifrado havas neniun ligtavolan kaplinion, kaj sekve neniun 802.1Q-etikedon por legi. Nenio estis forigita survoje, ĉar la etikedo neniam eniris la tunelon. La interna paketo komenciĝas ĉe sia IP-kaplinio, do ĉiu kampo, kiun atendas VLAN-konscia regulo, simple mankas.

Konfirmu la interfacan tipon antaŭ ol disputi pri la retumo, ĉar TAP-aparato en la sama deplojo kondutos alie kaj kondukos vin al malĝusta konkludo.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

La unua komando presas la aparatan specion kaj ĝiajn flagojn. La dua presas ligtavolajn kapliniojn por la unuaj dudek paketoj, kaj sur TUN-aparato la eligo komenciĝas ĉe IP sen Ethernet-bloko, kio estas la tuta klarigo sur unu ekrano.

Elekti TAP ankaŭ ne restarigas la etikedon. TAP-aparato pasigas kadrojn al ponto, kaj kio okazas al la etikedo dependas de la VLAN-filtrado de la ponto kaj de la agordita membreco de la pordo. Tio estas aparta dezajna decido kun propraj fiaskmanieroj.

Staru en unu el tri lokoj kaj akceptu, kion ĝi povas vidi

Sur la Ethernet-segmento de la filio la etikedo ĉeestas, sed la sensilo vidas nur lokan trafikon sur tiu segmento. Sur la ekstera VPN-reto la trafiko estas protektita, do observanto ekscias finpunktojn kaj volumenon kaj nenion pri la interna paketo. Sur la TUN-vojo post malĉifrado la interna IP-paketo disponeblas, kun sia adresado kaj pordoj, kaj sen la filia kadro. Tial retumo sur trunko kaj enkursigita retumo de la sama fluo aspektas kiel du malsamaj konversacioj.

Tiuj tri pozicioj respondas al tri malsamaj demandoj, kaj unu retumo ne povas esti ĉiuj samtempe.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Rulu la paron kaj komparu. La unua montras etikedigitajn kadrojn kaj iliajn VLAN-ID-ojn tie, kie la filia ligo estas trunkita al la gastiganto; la dua montras la saman konversacion kiel ordinaran IP post enkursigado. Se la unua redonas nenion, kontrolu, ĉu la gastiganta pordo estas alirpordo, ĉar tiam la etikedon jam forigis la ŝaltilo kaj neniu retumo sur la gastiganto iam montros ĝin.

Anstataŭigu la mankantan etikedon per mapado, kiun vi povas defendi

Se politiko distingas segmentojn laŭ IP-prefikso, skribu tiun mapadon kune kun ĝiaj limoj. Interkovrantaj adresaj gamoj, fonta tradukado kaj komuna pordego povas ĉiu unuope igi unu prefikson nesufiĉa por identigi, de kie paketo vere venis.

Fidu la interfacon kaj enkursigan kuntekston, kiujn vi kontrolas, ne etikedon, kiun la kliento liveras. Kaplinia kampo, kiun iu partnersistemo povas agordi, ne estas pruvo de membreco, kaj inspektan regulon, kiu traktas ĝin tiel, eblas facile eviti.

ip route get 10.20.30.40
ip -br addr show

La unua komando raportas la interfacon kaj la fonton, kiujn la kerno uzus por celo, kio estas la loka vido de segmenta aliĝo. La dua listigas adresojn laŭ interfaco, do la prefiksoj en via mapado povas esti kontrolitaj kontraŭ la realo, ne kontraŭ la diagramo.

Kontrolu la revenan vojon kaj la utilan ŝarĝon antaŭ ol fidi la rezulton

Inspekta punkto, kiu vidas nur unu direkton, maltrafos duonon de la konversacio, kaj nesimetria enkursigado oftas, kiam VPN estas en la afero. Konfirmu, ke respondoj trapasas la saman sensilon, antaŭ ol vi traktos unuflankan retumon kiel kompletan.

Rekrei la internan IP-paketon ankaŭ ne malĉifras HTTPS-sesion ene de ĝi. Se la politika demando temas pri enhavo, ne pri fluoj, la sensila pozicio devas moviĝi denove, kaj tiu decido apartenas al la sama dezajna dokumento.

Etendi senliman trunkon ĝis sensilo nur por igi VLAN-kampon aperi pligrandigas la retan limon sen respondi la originan demandon. Elektu la pozicion por la informo, kiun la politiko bezonas, notu tion, kion ĝi ne povas vidi, kaj reviziu la elekton, kiam la demando ŝanĝiĝos.