Wêrom jo VPN-sensor nea it VLAN-etiket fan de filiaal sjocht
In rûtearre tunnel weromfynt pakketten, net de frames dy’t se ferfierden. Fjouwer kontrôles op ynterfacetype, sensorposysje, boarnekontekst en antwurdpaad.
In sensor oan de VPN-kant sjocht twa filiaal-VLAN’s as gewoane IP-ferkear, en it etiket dat elke filiaal op syn eigen tried identifisearre is fuort. Dat is wat in rûtearre tunnel docht: hy weromfynt pakketten, net de Ethernet-frames dy’t se besoargen. Oft it ûntbrekkende etiket fan belang is, hinget folslein ôf fan de fraach dy’t jo de sensor stelle. Wurkje de fjouwer kontrôles hjirûnder op folchoarder troch en jo witte hokker waarnimmingspunt it beäntwurdzje kin.
Earst: fêststelle wat jo tunnel weromfynt
In TUN-ynterface ferfierdet IP-pakketten, dat de VLAN-kop fan it filiaalframe stoppt by de router dy’t it ferkear de tunnel yn skode. In TAP-ynterface ferfierdet Ethernet-frames, wat betsjut dat etiketten oerlibje kinne as de brêge en de VLAN-tagongsregels se trochlitte. Lês it ynterfacetype foardat jo redenearje oer wat in opname befetsje moat.
Gjin fan beide karren is in mankement. De beide ûntwerpen beäntwurdzje ferskillende fragen en litte it etiket op ferskillende plakken.
Befêstigje de ynterface sels ynstee fan him út de produktnamme ôf te lieden. De ferbiningsdetails neame it type apparaat en toane de jildige flaggen, en in opname op in TUN-apparaat sil gjin Ethernet-kop krije allinnich om’t jo derom frege hawwe. As der dochs etiketten ferskine op in TUN-opname, lêze jo hast wis in oare ynterface of in tunnel dy’t frames yn syn lading ferfierdet. Notearje yn hokker gefal jo sitte foardat jo trochgeane.
Twadde: set de sensor dêr’t it objekt noch bestiet
Trije posysjes dekke de measte rûtearre ûntwerpen: it Ethernet-segmint fan de filiaal, it bûtennetwurk tusken de tunnel-einpunten en it paad nei tunnelferwurking. Elk sjocht in oar objekt, en it etiket bestiet allinnich by de earste. In sensorposysje kieze is in beslút oer hokker objekt it belied nedich hat, net in kwestje fan gemak.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Stel de beliedsfaach yn termen dy’t de tabel beäntwurdzje kin, en hy lost himsels meastentiids op. As de regel witte moat út hokker filiaal in pakket kaam, kin de prefiksôfbylding streamôf genôch wêze, mar allinnich salang’t dy ôfbylding krekt en ûndûbelsinnich is. As de regel witte moat op hokker poarte it frame oankaam, hawwe jo de earste posysje nedich, want neat streamôf kin it werom bouwe. Sensors pleatst út gewoante ynstee fan út in fraach binne hoe’t teams úteinliks in fjild easkje dat it ûntwerp nea droech.
In tunnel dy’t Ethernet ferfierdet is in oar ûntwerp en freget syn eigen kontrôle fan wat de einpunten bewarje of weromskriuwe. Allinnich TAP kieze definiearret noch altyd net de brêge, de VLAN-tagongsregels of it ynspeksjebelied.
Tredde: fertsjinje de boarnekontekst ynstee fan derop te fertrouwen
Ien adresberik per filiaal is de gewoane ferfanger foar VLAN-identiteit, en it hâldt allinnich salang’t de ôfbylding ien-op-ien bliuwt. Oerlaapjende prefiksen, oersetting en in dielde poarte brekke elk dy oanname op in wize dy’t op in datakwaliteitsprobleem liket ynstee fan in ûntwerpprobleem. Skriuw de ôfbylding mei har grinzen op en sis wat der bart mei in pakket dat by twa rigen past. In prefiks dat yn twa filialen ferskynt soe in flater wêze moatte dy’t jo detektearje, net in muntgoai dy’t jo akseptearje.
Kontekst levere troch de klant is gjin bewiis fan lidmaatskip. It is in bewearing, en it heart yn in oare kolom.
Dêr’t it ferskil fan belang is, brûk keppelingsgegevens dy’t jo kontrolearje: hokker tunneleksimplaar de ferbining akseptearre, op hokker ynterface de pakketten oankamen, wat de pleatslike rûte tabel oer dy partner seit. In etiket fan de klant is in nuttige oanwizing en in nutteleaze autorisaasje-ynfier. As de sensor de keppeling net fan syn eigen kant fêststelle kin, hat it belied in bredere regel nedich ynstee fan in selsbetrouwen gissing.
Fjirde: befêstigje it antwurdpaad en wat ûntsifering mist
In sensor dy’t mar ien rjochting sjocht kin der noch sûn útsjen, om’t fersiken op tiid oankomme. Kontrolearje it antwurdpaad eksplisyt, en kontrolearje it foar deselde stream ynstee fan foar algemiene berikberens. Heal-dupleks sichtberens wurdt in stil gat yn elke steatlike konklúzje dy’t jo derút lûke.
It weromfinen fan ynterne IP-ferkear is ek net itselde as de applikaasje derbinnen sjen, want TLS ferfierd oer de tunnel bliuwt TLS.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Dy twa opdrachten beäntwurdzje de ynterfacefraach en litte sjen wat de opname echt befettet, wat flugger is as diskusjearje oer de arsjitektuer. Ferfange de ynterfacenamme dy’t jo ûntwerp brûkt en rin de opname wylst de stream dy’t jo skele aktyf is. As der gjin etiket ferskynt op in TUN-apparaat, is de befinning dat it ûntwerp rûtearre ynstee fan brêge, net dat de sensor gegevens falle liet. Ferpleats dan de sensor nei in posysje dy’t it etiket sjen kin, of skriuw de regel op ’e nij yn termen dy’t de hjoeddeiske posysje stypje kin.