Por qué una captura de VPN enrutada nunca muestra la etiqueta VLAN de la sucursal

Las capturas tomadas en la interfaz del túnel nunca mostrarán el ID de VLAN de la sucursal, y eso es una propiedad del diseño y no una carencia de la herramienta. Un túnel TUN enrutado transporta paquetes IP, así que la trama Ethernet etiquetada que los llevaba en el enlace de la sucursal termina en el router que los enrutó. Si la pregunta de su política trata de segmentos, la posición del sensor debe elegirse para esa pregunta antes de que empiece la captura. El campo VLAN que esperaba debe sustituirse por contexto que pueda defender.

Mire qué transporta realmente la interfaz del túnel

TUN entrega paquetes IP al host; TAP entrega tramas Ethernet. Un diseño enrutado usa lo primero, lo que significa que el paquete que llega tras el descifrado no tiene ninguna cabecera de capa de enlace y, por tanto, ninguna etiqueta 802.1Q que leer. No se eliminó nada en tránsito, porque la etiqueta nunca entró en el túnel. El paquete interno comienza en su cabecera IP, así que todo campo que espera una regla consciente de VLAN simplemente está ausente.

Confirme el tipo de interfaz antes de discutir sobre la captura, ya que un dispositivo TAP en el mismo despliegue se comportará de forma distinta y llevará a la conclusión equivocada.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

El primer comando imprime el tipo de dispositivo y sus indicadores. El segundo imprime las cabeceras de capa de enlace de los primeros veinte paquetes, y en un dispositivo TUN la salida empieza en IP sin bloque Ethernet, que es toda la explicación en una pantalla.

Elegir TAP tampoco restaura la etiqueta. Un dispositivo TAP pasa tramas a un puente, y lo que ocurre con la etiqueta depende del filtrado VLAN del puente y de la pertenencia configurada del puerto. Esa es una decisión de diseño aparte con sus propios modos de fallo.

Sitúese en uno de los tres lugares y acepte lo que puede ver

En el segmento Ethernet de la sucursal la etiqueta está presente, pero el sensor solo ve tráfico local en ese segmento. En la red VPN exterior el tráfico está protegido, así que un observador conoce los extremos y el volumen y nada sobre el paquete interno. En la ruta TUN tras el descifrado el paquete IP interno está disponible, con su direccionamiento y sus puertos, y sin la trama de la sucursal. Por tanto, una captura en troncal y una captura enrutada del mismo flujo parecen dos conversaciones distintas.

Esas tres posiciones responden a tres preguntas distintas, y una sola captura no puede ser todas a la vez.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Ejecute el par y compare. La primera muestra tramas etiquetadas y sus ID de VLAN donde el enlace de la sucursal está en troncal hacia el host; la segunda muestra la misma conversación como IP simple tras el enrutamiento. Si la primera no devuelve nada, compruebe si el puerto del host es un puerto de acceso, porque entonces el conmutador ya ha eliminado la etiqueta y ninguna captura en el host la mostrará jamás.

Sustituya la etiqueta ausente por una asignación que pueda defender

Si la política distingue segmentos por prefijo IP, anote esa asignación junto con sus límites. Los rangos de direcciones superpuestos, la traducción de origen y una puerta de enlace compartida pueden hacer cada uno que un solo prefijo sea insuficiente para identificar de dónde vino realmente un paquete.

Confíe en la interfaz y el contexto de enrutamiento que controla, no en una etiqueta que proporcione el cliente. Un campo de cabecera que un par puede establecer no es prueba de pertenencia, y una regla de inspección que lo trata como tal se elude trivialmente.

ip route get 10.20.30.40
ip -br addr show

El primer comando informa de la interfaz y la fuente que el núcleo usaría para un destino, que es la visión local de la conexión al segmento. El segundo lista las direcciones por interfaz para que los prefijos de su asignación puedan comprobarse contra la realidad en lugar de contra el diagrama.

Compruebe la ruta de retorno y la carga útil antes de confiar en el resultado

Un punto de inspección que solo ve una dirección se perderá la mitad de la conversación, y el enrutamiento asimétrico es habitual en cuanto hay una VPN. Confirme que las respuestas atraviesan el mismo sensor antes de considerar completa una captura unilateral.

Recuperar el paquete IP interno tampoco descifra una sesión HTTPS dentro de él. Si la pregunta de la política trata del contenido y no de los flujos, la posición del sensor debe moverse de nuevo, y esa decisión pertenece al mismo documento de diseño.

Extender un troncal sin restricciones hasta un sensor solo para que aparezca un campo VLAN amplía el límite de la red sin responder a la pregunta original. Elija la posición para la información que necesita la política, anote qué no puede ver y revise la elección cuando cambie la pregunta.