Wêrom't in opname fan in routed VPN nea it VLAN-label fan 'e filiaal sjen lit

Opnamen makke op de tunnelinterface sille nea de VLAN-ID fan 'e filiaal sjen litte, en dat is in eigenskip fan it ûntwerp ynstee fan in gat yn it ark. In routed TUN-tunnel ferfiert IP-pakketten, sadat it tagge Ethernet-ram dat se op 'e filiaalkeppeling ferfierde einiget by de router dy't se rûte. As jo beliedsfraach oer segminten giet, moat de sensorposysje foar dy fraach keazen wurde foardat de opname begjint. It VLAN-fjild dat jo ferwachten moat ferfongen wurde troch kontekst dy't jo ferdigenje kinne.

Sjoch nei wat de tunnelinterface eins ferfiert

TUN leveret IP-pakketten ôf oan de host; TAP leveret Ethernet-ramen. In routed ûntwerp brûkt it earste, wat betsjut dat it pakket dat nei ûntsifering oankomt hielendal gjin linklaachkop hat, en dus gjin 802.1Q-label om te lêzen. Der is ûnderweis neat fuorthelle, om't it label nea de tunnel ynkaam. It ynnere pakket begjint by syn IP-kop, dus elk fjild dat in VLAN-bewuste regel ferwachtet is gewoan ôfwêzich.

Befêstigje it type interface foardat jo oer de opname redendiele, om't in TAP-apparaat yn deselde útrulling oars gedraacht en ta de ferkearde konklúzje liedt.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

It earste kommando prints it apparaattype en syn flaggen. It twadde prints linklaachkoppen foar de earste tweintich pakketten, en op in TUN-apparaat begjint de útfier by IP sûnder Ethernet-blok, wat de hiele ferklearring op ien skerm is.

TAP kieze herstelt it label ek net. In TAP-apparaat jout ramen troch oan in brêge, en wat der mei it label bart hinget ôf fan 'e VLAN-filtering fan 'e brêge en it konfigurearre lidmaatskip fan 'e poarte. Dat is in aparte ûntwerpbeslissing mei eigen flatermodus.

Stean op ien fan trije plakken en akseptearje wat it sjen kin

Op it Ethernet-segmint fan 'e filiaal is it label oanwêzich, mar de sensor sjocht allinnich lokaal ferkear op dat segmint. Op it bûtenste VPN-netwurk is it ferkear beskerme, sadat in waarnimmer einpunten en folume leart en neat oer it ynnere pakket. Op it TUN-paad nei ûntsifering is it ynnere IP-pakket besikber, mei syn adressearring en poarten, en sûnder it ram fan 'e filiaal. Dêrom lykje in opname op in trunk en in routed opname fan deselde stream op twa ferskillende petearen.

Dy trije posysjes beantwurdzje trije ferskillende fragen, en ien opname kin net allegear tagelyk wêze.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Rin it pear en fergelykje. It earste lit tagge ramen en har VLAN-ID's sjen wêr't de filiaalkeppeling nei de host trunke is; it twadde lit itselde petear as gewoane IP nei routing sjen. As it earste hielendal neat weromjout, kontrolearje dan oft de hostpoarte in tagongspoarte is, want dan is it label al troch de switch fuorthelle en gjin inkelde opname op 'e host sil it ea sjen litte.

Ferfange it ûntbrekkende label troch in mapping dy't jo ferdigenje kinne

As belied segminten ûnderskiedt op IP-prefiks, skriuw dy mapping dan op tegearre mei syn grinzen. Oerlaapjende adresberikken, boarntranslaasje en in dielde gateway kinne elk ien prefiks ûnfoldwaande meitsje om te bepalen wêr't in pakket echt wei kaam.

Fertrou it interface en de routingkontekst dy't jo kontrolearje, net in label dat de klant leveret. In kopfjild dat in peer ynstelle kin is gjin bewiis fan lidmaatskip, en in ynspeksjeregel dy't it as sadanich behannelet is maklik om te omzeilen.

ip route get 10.20.30.40
ip -br addr show

It earste kommando rapportearret de interface en boarne dy't de kernel foar in bestimming brûke soe, wat it lokale byld fan segmintferbining is. It twadde listet adressen per interface, sadat de prefiksen yn jo mapping tsjin de realiteit ynstee fan tsjin it diagram kontrolearre wurde kinne.

Kontrolearje it werompaad en de lading foardat jo it resultaat fertrouwe

In ynspeksjepunt dat mar ien rjochting sjocht sil de helte fan it petear misse, en asymmetryske routing is gewoan sadree't in VPN belutsen is. Befêstigje dat antwurden deselde sensor passearje foardat jo in iensidige opname as folslein beskôgje.

It weromheljen fan it ynnere IP-pakket ûntsifereket ek gjin HTTPS-sesje deryn. As de beliedsfraach oer ynhâld giet ynstee fan streams, moat de sensorposysje wer ferskowe, en dy beslissing heart by itselde ûntwerpdokumint.

In ûnbeheinde trunk nei in sensor ferlingje allinnich om in VLAN-fjild ferskine te litten fergruttet de netwurkgrins sûnder it oarspronklike fraach te beäntwurdzjen. Kies de posysje foar de ynformaasje dy't it belied nedich hat, skriuw op wat it net sjen kin, en besjoch de kar opnij as de fraach feroaret.