Miks teie VPN-andur ei näe kunagi haru VLAN-silti

VPN-i poolel olev andur näeb kahte haru VLAN-i tavalise IP-liiklusena ja silt, mis tähistas iga haru selle enda juhtmel, on kadunud. Seda marsruuditud tunnel teebki: ta taastab paketid, mitte Etherneti raamid, mis need kohale toimetasid. Kas puuduv silt on oluline, sõltub täielikult küsimusest, mille te andurile esitate. Tehke alltoodud neli kontrolli järjest läbi ja te teate, milline vaatluspunkt suudab sellele vastata.

Esiteks: tehke kindlaks, mida teie tunnel taastab

TUN-liides edastab IP-pakette, seega peatub haru raami VLAN-päis ruuteril, mis liikluse tunnelisse lükkas. TAP-liides edastab Etherneti raame, mis tähendab, et sildid võivad alles jääda, kui sild ja VLAN-i lubamise reeglid lasevad need läbi. Lugege liidese tüüpi, enne kui arutlete, mida püünis peaks sisaldama.

Kumbki valik ei ole defekt. Kaks lahendust vastavad erinevatele küsimustele ja jätavad sildi erinevatesse kohtadesse.

Kinnitage liides ise, selle asemel et tuletada seda toote nimest. Ühenduse üksikasjad nimetavad seadme tüübi ja näitavad kehtivaid lippe, ning TUN-seadmel tehtud püünis ei saa Etherneti päist lihtsalt sellepärast, et te seda palusite. Kui TUN-püünises siiski sildid ilmuvad, loete peaaegu kindlasti teist liidest või tunnelit, mis kannab raame oma kasuliku koormuse sees. Märkige, millise juhtumiga on tegu, enne kui jätkate.

Teiseks: asetage andur sinna, kus objekt veel eksisteerib

Kolm asukohta katavad enamiku marsruuditud lahendustest: haru Etherneti segment, väline võrk tunnelite otspunktide vahel ja tee pärast tunneli töötlemist. Igaüks näeb erinevat objekti ja silt eksisteerib ainult esimeses. Anduri asukoha valimine on otsus selle kohta, millist objekti poliitika vajab, mitte mugavuse küsimus.

Esitage poliitika küsimus tingimustes, millele tabel suudab vastata, ja see laheneb tavaliselt iseenesest. Kui reegel peab teadma, millisest harust pakett tuli, võib allavoolu prefiksite vastendus olla piisav, kuid ainult seni, kuni see vastendus on täpne ja üheselt mõistetav. Kui reegel peab teadma, millisele pordile raam saabus, on teil vaja esimest asukohta, sest miski allavoolu ei suuda seda rekonstrueerida. Harjumusest, mitte küsimusest lähtuvalt paigutatud andurid on põhjus, miks meeskonnad hakkavad lõpuks nõudma välja, mida lahendus kunagi ei kandnud.

Etherneti kandev tunnel on teistsugune lahendus ja vajab omaette kontrolli selle kohta, mida otspunktid säilitavad või ümber kirjutavad. Ainuüksi TAP-i valimine ei määratle ikka veel silda, VLAN-i lubamise reegleid ega kontrollimispoliitikat.

Kolmandaks: teenige allika kontekst usaldamise asemel välja

Üks aadressivahemik haru kohta on tavaline VLAN-i identiteedi asendaja ja kehtib ainult seni, kuni vastendus jääb üks-ühele. Kattuvad prefiksid, tõlkimine ja ühine lüüs rikuvad igaüks seda eeldust viisil, mis näeb välja nagu andmekvaliteedi, mitte lahenduse probleem. Kirjutage vastendus koos selle piiridega üles ja öelge, mis juhtub paketiga, mis vastab kahele reale. Kahes harus esinev prefiks peaks olema viga, mille te tuvastate, mitte mündivise, mille te vastu võtate.

Kliendi esitatud kontekst ei ole liikmelisuse tõend. See on väide ja see kuulub teise veergu.

Kus eristus on oluline, kasutage seostamisandmeid, mida te kontrollite: milline tunneli eksemplar ühenduse vastu võttis, millisele liidesele paketid saabusid, mida kohalik marsruutimistabel selle partneri kohta ütleb. Kliendi esitatud silt on kasulik vihje ja kasutu autoriseerimissisend. Kui andur ei suuda seost oma poolt tuvastada, vajab poliitika laiemat reeglit, mitte enesekindlat oletust.

Neljandaks: kinnitage vastusetee ja mida dekrüpteerimine kahe silma vahele jätab

Ainult ühte suunda nägev andur võib ikka terve välja näha, sest päringud saabuvad jätkuvalt graafiku järgi. Kontrollige vastusetee selgesõnaliselt läbi ja kontrollige seda sama voo jaoks, mitte üldise kättesaadavuse jaoks. Pooldupleksne nähtavus muutub vaikseks lüngaks igas olekupõhises järelduses, mille te sellest teete.

Sisemise IP-liikluse taastamine ei ole samuti sama, mis selle sees oleva rakenduse nägemine, sest üle tunneli kantav TLS jääb TLS-iks.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Need kaks käsku vastavad liidese küsimusele ja näitavad, mida püünis tegelikult sisaldab, mis on kiirem kui arhitektuuri üle vaidlemine. Asendage liidese nimi, mida teie lahendus kasutab, ja käivitage püünis, kui teid huvitav voog on aktiivne. Kui TUN-seadmel ei ilmu ühtki silti, on järeldus see, et lahendus marsruudis silla ehitamise asemel, mitte see, et andur kaotas andmeid. Seejärel viige andur kas asukohta, mis silti näeb, või kirjutage reegel ümber tingimustes, mida praegune asukoht toetada suudab.