Zergatik VPN bideratu bateko harrapaketa batek ez duen inoiz adarraren VLAN etiketa erakusten

Tunelaren interfazean egindako harrapaketek ez dute inoiz adarraren VLAN IDa erakutsiko, eta hori diseinuaren ezaugarria da, ez tresnaren hutsunea. TUN tunel bideratu batek IP paketeak garraiatzen ditu, beraz adarraren loturan haiek garraiatu zituen Ethernet marko etiketatua haiek bideratu zituen bideratzailean amaitzen da. Zure politikaren galdera segmentuei buruzkoa bada, sentsorearen posizioa galdera horretarako aukeratu behar da harrapaketa hasi aurretik. Espero zenuen VLAN eremua defenda dezakezun testuinguru batekin ordezkatu behar da.

Begiratu zer garraiatzen duen tunelaren interfazeak benetan

TUNek IP paketeak ematen dizkio ostalariari; TAPek Ethernet markoak ematen ditu. Diseinu bideratuak lehena erabiltzen du, hau da, deszifratzearen ondoren iristen den paketeak ez du esteka-geruzako goibururik batere, eta beraz ez du irakurtzeko 802.1Q etiketarik. Ezer ez zen bidean kendu, etiketa ez baitzen inoiz tunelean sartu. Barne-paketea bere IP goiburuan hasten da, beraz VLANez jabetzen den arau batek espero duen eremu bakoitza besterik gabe falta da.

Egiaztatu interfazearen mota harrapaketari buruz eztabaidatu aurretik, inplementazio bereko TAP gailu batek beste modu batera jokatuko baitu eta ondorio okerra ekarriko du.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Lehen komandoak gailuaren mota eta bere banderak inprimatzen ditu. Bigarrenak lehen hogei paketeen esteka-geruzako goiburuak inprimatzen ditu, eta TUN gailu batean irteera IPn hasten da Ethernet blokerik gabe, eta hori da azalpen osoa pantaila bakarrean.

TAP hautatzeak ere ez du etiketa berreskuratzen. TAP gailu batek markoak zubi batera pasatzen ditu, eta etiketari zer gertatzen zaion zubiaren VLAN iragazketaren eta atakaren konfiguratutako kidetzaren araberakoa da. Hori diseinu-erabaki bereizi bat da, bere hutsegite-modu propioekin.

Kokatu hiru tokietako batean eta onartu zer ikus dezakeen

Adarraren Ethernet segmentuan etiketa badago, baina sentsoreak segmentu horretako tokiko trafikoa baino ez du ikusten. Kanpoko VPN sarean trafikoa babestuta dago, beraz behatzaile batek muturrak eta bolumena ikasten ditu eta ezer ez barne-paketeari buruz. Deszifratzearen ondorengo TUN bidean barne IP paketea erabilgarri dago, bere helbideratze eta atakekin, eta adarraren markorik gabe. Beraz, fluxu beraren trunkeko harrapaketa batek eta harrapaketa bideratu batek bi elkarrizketa ezberdin dirudite.

Hiru posizio horiek hiru galdera desberdini erantzuten diete, eta harrapaketa bakar batek ezin ditu denak aldi berean izan.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Exekutatu bikotea eta alderatu. Lehenak marko etiketatuak eta haien VLAN IDak erakusten ditu adarraren lotura ostalarira trunkatuta dagoen lekuan; bigarrenak elkarrizketa bera IP soil gisa erakusten du bideratu ondoren. Lehenak ezer itzultzen ez badu, egiaztatu ostalariaren ataka sarbide-ataka den, orduan etiketa switchak jada kendu baitu eta ostalariko inongo harrapaketak ez baitu inoiz erakutsiko.

Ordezkatu falta den etiketa defenda dezakezun mapatze batekin

Politikak segmentuak IP aurrizkiaren arabera bereizten baditu, idatzi mapatze hori bere mugetarako batera. Helbide-tarte gainjarriek, iturriaren itzulpenak eta ataka partekatu batek bakoitzak aurrizki bakarra gutxiegi egin dezakete paketea benetan nondik etorri zen identifikatzeko.

Fidatu kontrolatzen duzun interfazeaz eta bideratze-testuinguruaz, ez bezeroak ematen duen etiketa batez. Pare batek ezar dezakeen goiburu-eremu bat ez da kidetasunaren froga, eta hala tratatzen duen ikuskapen-araua erraz gainditzen da.

ip route get 10.20.30.40
ip -br addr show

Lehen komandoak kernelak helmuga baterako erabiliko lukeen interfazea eta iturria jakinarazten ditu, hau da, segmentuarekiko loturaren tokiko ikuspegia. Bigarrenak interfaze bakoitzeko helbideak zerrendatzen ditu, zure mapatzearen aurrizkiak diagramaren aurka baino errealitatearen aurka egiaztatu ahal izateko.

Egiaztatu itzulera-bidea eta karga erabilgarria emaitzan fidatu aurretik

Norabide bakarra ikusten duen ikuskapen-puntu batek elkarrizketaren erdia galduko du, eta bideratze asimetrikoa ohikoa da VPN bat tartean dagoenean. Egiaztatu erantzunek sentsore bera zeharkatzen dutela alde bakarreko harrapaketa osotzat hartu aurretik.

Barne IP paketea berreskuratzeak ez du haren barruko HTTPS saio bat deszifratzen ere. Politikaren galdera fluxuez baino edukiari buruzkoa bada, sentsorearen posizioak berriro mugitu behar du, eta erabaki hori diseinu-dokumentu berari dagokio.

Trunk mugagabe bat sentsoreraino luzatzeak, VLAN eremu bat agertzeagatik soilik, sare-muga handitzen du jatorrizko galderari erantzun gabe. Aukeratu posizioa politikak behar duen informaziorako, idatzi ikus ezin duena, eta berrikusi aukera galdera aldatzen denean.