Kial via VPN-sensilo neniam vidas la VLAN-etikedon de la branĉo

Sensilo ĉe la VPN-flanko vidas du branĉajn VLAN-ojn kiel ordinaran IP-trafikon, kaj la etikedo, kiu identigis ĉiun branĉon sur sia propra drato, mankas. Tion faras enkursigita tunelo: ĝi reakiras pakaĵojn, ne la Ethernet-kadrojn, kiuj liveris ilin. Ĉu la mankanta etikedo gravas, tute dependas de la demando, kiun vi starigas al la sensilo. Pasu la kvar kontrolojn sube laŭorde, kaj vi scios, kiu observpunkto povas respondi ĝin.

Unue: difinu, kion via tunelo reakiras

TUN-interfaco transportas IP-pakaĵojn, do la VLAN-kapo de la branĉa kadro haltas ĉe la enkursigilo, kiu ŝovis la trafikon en la tunelon. TAP-interfaco transportas Ethernet-kadrojn, kio signifas, ke etikedoj povas postvivi kiam la ponto kaj la VLAN-akceptaj reguloj lasas ilin trapasi. Legu la interfacan tipon antaŭ ol racie pripensi, kion kaptaĵo devus enhavi.

Neniu el la du elektoj estas difekto. La du dezajnoj respondas diversajn demandojn kaj lasas la etikedon en diversaj lokoj.

Konfirmu la interfacon mem anstataŭ dedukti ĝin el la produkta nomo. La ligaj detaloj nomas la tipon de aparato kaj montras la validajn flagojn, kaj kaptaĵo prenita sur TUN-aparato ne ricevos Ethernet-kapon nur ĉar vi petis ĝin. Se tamen etikedoj aperas en TUN-kaptaĵo, vi preskaŭ certe legas alian interfacon aŭ tunelon, kiu portas kadrojn ene de sia utila ŝarĝo. Notu, en kiu kazo vi troviĝas, antaŭ ol daŭrigi.

Due: metu la sensilon tie, kie la objekto ankoraŭ ekzistas

Tri pozicioj kovras la plej multajn enkursigitajn dezajnojn: la Ethernet-segmento de la branĉo, la ekstera reto inter la tunelaj finpunktoj, kaj la vojo post tunela prilaboro. Ĉiu vidas alian objekton, kaj la etikedo ekzistas nur ĉe la unua. Elekti sensilan pozicion estas decido pri tio, kiun objekton la politiko bezonas, ne afero de komforto.

Formulu la politikan demandon tiel, ke la tabelo povu respondi ĝin, kaj ĝi kutime solviĝas mem. Se la regulo bezonas scii, el kiu branĉo venis pakaĵo, la prefiksa mapado malsupre povas sufiĉi, sed nur dum tiu mapado restas preciza kaj unuvalora. Se la regulo bezonas scii, sur kiun pordon alvenis la kadro, vi bezonas la unuan pozicion, ĉar nenio malsupre povas rekonstrui ĝin. Sensiloj metitaj pro kutimo anstataŭ pro demando estas kiel teamoj finfine postulas kampon, kiun la dezajno neniam portis.

Tunelo, kiu transportas Ethernet, estas alia dezajno kaj bezonas propran kontrolon de tio, kion la finpunktoj konservas aŭ reverkas. Elekti nur TAP ankoraŭ ne difinas la ponton, la VLAN-akceptajn regulojn aŭ la inspektan politikon.

Trie: gajnu la fontan kuntekston anstataŭ fidi ĝin

Unu adresa gamo por branĉo estas la kutima anstataŭaĵo por VLAN-identeco, kaj ĝi validas nur dum la mapado restas unu-al-unu. Interkovrantaj prefiksoj, tradukado kaj komuna pordego ĉiu rompas tiun supozon tiel, ke ĝi aspektas kiel problemo de datena kvalito, ne de dezajno. Skribu la mapadon kun ĝiaj limoj kaj diru, kio okazas al pakaĵo, kiu kongruas kun du vicoj. Prefikso, kiu aperas en du branĉoj, devus esti eraro, kiun vi detektas, ne monerĵeto, kiun vi akceptas.

Kunteksto provizita de la kliento ne estas pruvo de membreco. Ĝi estas aserto, kaj ĝi apartenas al alia kolumno.

Kie la distingo gravas, uzu asociajn datumojn, kiujn vi kontrolas: kiu tunela kazo akceptis la konekton, sur kiun interfacon alvenis la pakaĵoj, kion la loka enkursiga tabelo diras pri tiu kunulo. Etikedo provizita de la kliento estas utila aludo kaj senutila aŭtoriza enigaĵo. Se la sensilo ne povas establi la asocion de sia propra flanko, la politiko bezonas pli larĝan regulon anstataŭ memfida konjekto.

Kvare: konfirmu la respondan vojon kaj kion malĉifrado maltrafas

Sensilo, kiu vidas nur unu direkton, ankoraŭ povas aspekti sana, ĉar petoj daŭre alvenas laŭ horaro. Kontrolu la respondan vojon eksplicite, kaj kontrolu ĝin por la sama fluo anstataŭ por ĝenerala atingeblo. Duondupleksa videbleco fariĝas silenta breĉo en ĉiu stata konkludo, kiun vi tiras el ĝi.

Reakiri internan IP-trafikon ankaŭ ne samas al vidi la aplikaĵon ene de ĝi, ĉar TLS transportata super la tunelo restas TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Tiuj du komandoj respondas la interfacan demandon kaj montras, kion la kaptaĵo vere enhavas, kio estas pli rapida ol disputi pri la arkitekturo. Anstataŭigu la interfacan nomon, kiun via dezajno uzas, kaj rulu la kaptaĵon dum la fluo, kiu gravas al vi, estas aktiva. Kiam neniu etikedo aperas sur TUN-aparato, la konkludo estas, ke la dezajno enkursigis anstataŭ ponti, ne ke la sensilo perdis datumojn. Poste aŭ movu la sensilon al pozicio, kiu povas vidi la etikedon, aŭ reverku la regulon per terminoj, kiujn la nuna pozicio povas subteni.