Miks marsruuditud VPN-i püünis ei näita kunagi haru VLAN-silti

Tunneli liidesel tehtud püünised ei näita kunagi haru VLAN-i ID-d ja see on disaini omadus, mitte tööriista puudujääk. Marsruuditud TUN-tunnel edastab IP-pakette, seega märgistatud Ethernet-kaader, mis neid haru lingil kandis, lõpeb ruuteril, mis need marsruutis. Kui teie poliitika küsimus puudutab segmente, tuleb anduri asukoht selle küsimuse jaoks valida enne püünise algust. VLAN-i väli, mida ootasite, tuleb asendada kontekstiga, mida saate kaitsta.

Vaadake, mida tunneli liides tegelikult edastab

TUN toimetab IP-paketid hostini; TAP toimetab Ethernet-kaadrid. Marsruuditud disain kasutab esimest, mis tähendab, et pärast dekrüpteerimist saabuval paketil ei ole üldse lülitasandi päist ja seega ka mitte 802.1Q silti, mida lugeda. Teel ei eemaldatud midagi, sest silt ei sisenenud kunagi tunnelisse. Sisemine pakett algab oma IP-päisest, seega iga väli, mida VLAN-i teadlik reegel ootab, lihtsalt puudub.

Kinnitage liidese tüüp enne, kui püünise üle vaidlete, sest samas juurutusas olev TAP-seade käitub teisiti ja viib vale järelduseni.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Esimene käsk väljastab seadme liigi ja selle lipud. Teine väljastab lülitasandi päised esimese kahekümne paketi kohta ja TUN-seadmel algab väljund IP-st ilma Etherneti plokita, mis on kogu seletus ühel ekraanil.

TAP-i valimine ei taasta silti samuti. TAP-seade edastab kaadrid sillale ja see, mis sildil juhtub, sõltub silla VLAN-i filtreerimisest ja pordi seadistatud liikmesusest. See on eraldi disainiotus oma tõrkerežiimidega.

Seisake ühes kolmest kohast ja leppige sellega, mida see näha suudab

Haru Ethernet-segmendil on silt olemas, kuid andur näeb ainult selle segmendi kohalikku liiklust. Välises VPN-võrgus on liiklus kaitstud, seega vaatleja teab lõpp-punkte ja mahtu ning mitte midagi sisemisest paketist. TUN-i teel pärast dekrüpteerimist on sisemine IP-pakett saadaval koos oma adresseerimise ja portidega ning ilma haru kaadrita. Seetõttu näevad sama voo püünis trungil ja marsruuditud püünis välja nagu kaks erinevat vestlust.

Need kolm asukohta vastavad kolmele erinevale küsimusele ja üks püünis ei saa olla kõik korraga.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Käivitage paar ja võrrelge. Esimene näitab märgistatud kaadreid ja nende VLAN-i ID-sid seal, kus haru link on hosti poole trungitud; teine näitab sama vestlust tavalise IP-na pärast marsruutimist. Kui esimene ei tagasta midagi, kontrollige, kas hosti port on juurdepääsuport, sest siis on lüliti sildi juba eemaldanud ja ükski püünis hostil ei näita seda kunagi.

Asendage puuduv silt kaardistusega, mida saate kaitsta

Kui poliitika eristab segmente IP-eesliite järgi, kirjutage see kaardistus koos oma piiridega üles. Kattuvad aadressivahemikud, lähteaadressi tõlkimine ja ühine lüüs võivad igaüks muuta ühe eesliite ebapiisavaks, et teha kindlaks, kust pakett tegelikult tuli.

Usaldage liidest ja marsruutimiskonteksti, mida kontrollite, mitte silti, mille klient esitab. Päiseväli, mille partner saab seada, ei ole liikmesuse tõend, ja inspekteerimisreegel, mis kohtleb seda sellisena, on kergesti välditav.

ip route get 10.20.30.40
ip -br addr show

Esimene käsk teatab liidese ja allika, mida kernel sihtkoha jaoks kasutaks, mis on segmendiga liitumise kohalik vaade. Teine loetleb aadressid liidese kaupa, et teie kaardistuse eesliiteid saaks kontrollida tegelikkuse, mitte diagrammi vastu.

Kontrollige tagasiteed ja kasulikku koormust enne, kui tulemust usaldate

Inspekteerimispunkt, mis näeb ainult ühte suunda, jätab kaotsi poole vestlusest, ja asümmeetriline marsruutimine on tavaline, kui VPN on mängus. Kinnitage, et vastused läbivad sama anduri, enne kui ühepoolset püüni täielikuks peate.

Sisemise IP-paketi taastamine ei dekrüpteeri ka selle sees olevat HTTPS-seanssi. Kui poliitika küsimus puudutab sisu, mitte vooge, peab anduri asukoht uuesti liikuma ja see otsus kuulub samasse disainidokumenti.

Piiramatu trungi laiendamine andurini ainult selleks, et VLAN-i väli nähtavale tuleks, suurendab võrgu piiri, vastamata algsele küsimusele. Valige asukoht teabe jaoks, mida poliitika vajab, kirjutage üles, mida see näha ei saa, ja vaadake valik uuesti üle, kui küsimus muutub.