Zergatik ez duen zure VPN sentsoreak inoiz adarraren VLAN etiketa ikusten
Bideratutako tunel batek paketeak berreskuratzen ditu, ez zituzten eraman zituzten markoak. Lau egiaztapen interfaze motari, sentsorearen posizioari, iturburu-testuinguruari eta erantzun-bideari buruz.
VPN aldean dagoen sentsore batek adar biko VLAN bi IP trafiko soil gisa ikusten ditu, eta adar bakoitza bere kable propioan identifikatzen zuen etiketa desagertu da. Hori da bideratutako tunel batek egiten duena: paketeak berreskuratzen ditu, ez zituzten Ethernet markoak. Falta den etiketak garrantzia duen ala ez sentsoreari egiten diozun galderaren araberakoa da erabat. Egin beheko lau egiaztapenak ordenan eta jakingo duzu zein behaketa-puntuk erantzun dezakeen.
Lehenik: zehaztu zure tunelak zer berreskuratzen duen
TUN interfaze batek IP paketeak garraiatzen ditu, beraz adarraren markoaren VLAN goiburua trafikoa tunelera bultzatu zuen bideratzailean gelditzen da. TAP interfaze batek Ethernet markoak garraiatzen ditu, hau da, etiketak bizirik iraun dezakete zubiak eta VLAN onarpen arauek pasatzen uzten dituztenean. Irakurri interfaze mota harrapaketa batek zer izan beharko lukeen pentsatu aurretik.
Bi aukeretako bat ere ez da akatsa. Bi diseinuek galdera desberdinak erantzuten dituzte eta etiketa leku desberdinetan uzten dute.
Egiaztatu interfazea zeuk, produktuaren izenetik ondorioztatu beharrean. Estekaren xehetasunek gailu mota izendatzen dute eta indarrean dauden banderak erakusten dituzte, eta TUN gailuan egindako harrapaketa batek ez du Ethernet goibururik izango hura eskatu duzulako soilik. TUN harrapaketan etiketak agertzen badira, ziurrenik beste interfaze bat edo markoak bere karga erabilgarriaren barruan garraiatzen dituen tunel bat irakurtzen ari zara. Ohartu zein kasutan zauden aurrera egin aurretik.
Bigarrenik: jarri sentsorea objektua oraindik existitzen den lekuan
Hiru posiziok estaltzen dituzte diseinu bideratu gehienak: adarraren Ethernet segmentua, tunelaren muturren arteko kanpoko sarea eta tunelaren prozesaketaren ondorengo bidea. Bakoitzak objektu desberdin bat ikusten du, eta etiketa lehenengoan bakarrik dago. Sentsore-posizio bat aukeratzea politikak zein objektu behar duen erabakitzea da, ez erosotasun kontua.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Egin politikaren galdera taulak erantzun dezakeen moduan, eta normalean bere kasa konpontzen da. Arauak jakin behar badu pakete bat zein adarretatik etorri zen, beherago dagoen aurrizki-mapa nahikoa izan daiteke, baina mapa hori zehatza eta anbiguotasunik gabea den bitartean soilik. Arauak jakin behar badu markoa zein portutara iritsi zen, lehen posizioa behar duzu, beherago ezerk ezin baitu hura berreraiki. Ohituraz eta ez galderaz kokatutako sentsoreak dira taldeek diseinuak inoiz eraman ez zuen eremu bat eskatzera iristeko bidea.
Ethernet garraiatzen duen tunel bat diseinu desberdin bat da eta muturrek zer gordetzen edo berridazten duten bere egiaztapena behar du. TAP soilik aukeratzeak oraindik ez ditu zubia, VLAN onarpen arauak edo ikuskapen politika definitzen.
Hirugarrenik: irabazi iturburu-testuingurua, hari sinetsi beharrean
Adar bakoitzeko helbide-barruti bakarra VLAN identitatearen ordezko ohikoa da, eta bat-bateko mapa izaten jarraitzen duen bitartean soilik balio du. Aurrizki gainjarriek, itzulpenak eta atebide partekatu batek hipotesi hori hausten dute, datu-kalitate arazo bat balitz bezala agertzen den moduan, eta ez diseinu arazoa. Idatzi mapa bere mugekin eta esan zer gertatzen zaion bi errenkadarekin bat datorren paketeari. Bi adarretan agertzen den aurrizki bat detektatzen duzun errore bat izan behar litzateke, ez onartzen duzun txanpon-jaurtiketa bat.
Bezeroak emandako testuingurua ez da kidetasunaren froga. Baieztapen bat da, eta beste zutabe batean dagokio.
Bereizketa garrantzitsua den lekuan, erabili kontrolatzen duzun elkartze-datua: zein tunel instantziak onartu zuen konexioa, zein interfazera iritsi ziren paketeak, tokiko bideratze-taulak pare horretaz zer dioen. Bezeroak emandako etiketa arrasto erabilgarria eta baimena emateko sarrera alferrikakoa da. Sentsoreak ezin badu elkartzea bere aldetik ezarri, politikak arau zabalagoa behar du, uste ziur bat baino.
Laugarrenik: egiaztatu erantzun-bidea eta deskodetzeak zer galtzen duen
Norabide bakarra ikusten duen sentsore bat osasuntsu itxura izan dezake oraindik, eskaerak ordutegian iristen jarraitzen baitute. Egiaztatu erantzun-bidea berariaz, eta egiaztatu fluxu berbererako, ez iristeko gaitasun orokorrerako. Erdiko duplexeko ikusgaitasuna isilpeko hutsune bihurtzen da hartatik ateratzen duen ondorio egoeradun orotan.
Barneko IP trafikoa berreskuratzea ere ez da barruko aplikazioa ikustea bezalakoa, tunelean zehar garraiatutako TLS TLS izaten jarraitzen baitu.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Bi komando horiek interfazearen galdera erantzuten dute eta harrapaketak benetan zer daukan erakusten dute, arkitekturaz eztabaidatzea baino azkarragoa dena. Ordeztu zure diseinuak erabiltzen duen interfaze-izena eta exekutatu harrapaketa axola zaizun fluxua aktibo dagoen bitartean. TUN gailu batean etiketarik agertzen ez denean, aurkikuntza da diseinuak bideratu egin zuela zubia egin beharrean, eta ez sentsoreak datuak galdu zituenik. Ondoren, edo eraman sentsorea etiketa ikus dezakeen posizio batera, edo berridatzi araua egungo posizioak onar dezakeen moduan.