Por que unha captura de VPN encamiñada nunca mostra a etiqueta VLAN da sucursal

As capturas tomadas na interface do túnel nunca mostrarán o ID de VLAN da sucursal, e iso é unha propiedade do deseño e non unha fenda na ferramenta. Un túnel TUN encamiñado transporta paquetes IP, así que a trama Ethernet etiquetada que os levaba na ligazón da sucursal remata no router que os encamiñou. Se a pregunta da súa política trata de segmentos, a posición do sensor debe escollerse para esa pregunta antes de que comece a captura. O campo VLAN que agardaba debe substituírse por contexto que poida defender.

Mire que transporta realmente a interface do túnel

TUN entrega paquetes IP ao host; TAP entrega tramas Ethernet. Un deseño encamiñado usa o primeiro, o que significa que o paquete que chega despois do descifrado non ten ningunha cabeceira de capa de ligazón, e por tanto ningunha etiqueta 802.1Q que ler. Non se eliminou nada en tránsito, porque a etiqueta nunca entrou no túnel. O paquete interno comeza na súa cabeceira IP, así que todos os campos que agarda unha regra consciente de VLAN simplemente están ausentes.

Confirme o tipo de interface antes de discutir sobre a captura, xa que un dispositivo TAP no mesmo despregamento comportarase de forma distinta e levará a unha conclusión errónea.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

O primeiro comando imprime o tipo de dispositivo e os seus indicadores. O segundo imprime as cabeceiras de capa de ligazón dos primeiros vinte paquetes, e nun dispositivo TUN a saída comeza en IP sen bloque Ethernet, que é toda a explicación nunha pantalla.

Escoller TAP tampouco restaura a etiqueta. Un dispositivo TAP pasa tramas a unha ponte, e o que ocorre coa etiqueta depende do filtrado VLAN da ponte e da pertenza configurada do porto. Esa é unha decisión de deseño separada cos seus propios modos de fallo.

Sitúese nun dos tres lugares e acepte o que pode ver

No segmento Ethernet da sucursal a etiqueta está presente, pero o sensor só ve tráfico local nese segmento. Na rede VPN exterior o tráfico está protexido, así que un observador coñece os extremos e o volume e nada sobre o paquete interno. Na ruta TUN tras o descifrado o paquete IP interno está dispoñible, co seu enderezo e os seus portos, e sen a trama da sucursal. Por tanto, unha captura en troncal e unha captura encamiñada do mesmo fluxo parecen dúas conversas distintas.

Esas tres posicións responden a tres preguntas distintas, e unha soa captura non pode ser todas á vez.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Executa o par e compara. A primeira mostra tramas etiquetadas e os seus ID de VLAN onde a ligazón da sucursal está en troncal cara ao host; a segunda mostra a mesma conversa como IP simple tras o encamiñamento. Se a primeira non devolve nada, comprobe se o porto do host é un porto de acceso, porque entón o conmutador xa retirou a etiqueta e ningunha captura no host a mostrará xamais.

Substitúa a etiqueta ausente por unha asignación que poida defender

Se a política distingue segmentos por prefixo IP, anote esa asignación xunto cos seus límites. Os rangos de enderezos superpostos, a tradución de orixe e unha pasarela compartida poden facer cada un que un só prefixo sexa insuficiente para identificar de onde veu realmente un paquete.

Confíe na interface e no contexto de encamiñamento que controla, non nunha etiqueta que proporcione o cliente. Un campo de cabeceira que un par pode establecer non é proba de pertenza, e unha regra de inspección que o trata como tal evítase trivialmente.

ip route get 10.20.30.40
ip -br addr show

O primeiro comando informa da interface e da fonte que o núcleo usaría para un destino, que é a visión local da conexión ao segmento. O segundo lista os enderezos por interface para que os prefixos da súa asignación poidan comprobarse contra a realidade en lugar de contra o diagrama.

Comprobe a ruta de retorno e a carga útil antes de confiar no resultado

Un punto de inspección que só ve unha dirección perderá a metade da conversa, e o encamiñamento asimétrico é habitual en canto hai unha VPN. Confirme que as respostas atravesan o mesmo sensor antes de considerar completa unha captura unilateral.

Recuperar o paquete IP interno tampouco descifra unha sesión HTTPS dentro del. Se a pregunta da política trata do contido e non dos fluxos, a posición do sensor debe moverse de novo, e esa decisión pertence ao mesmo documento de deseño.

Estender unha troncal sen restricións ata un sensor só para que apareza un campo VLAN amplía o límite da rede sen responder á pregunta orixinal. Escolla a posición para a información que necesita a política, anote que non pode ver e revise a elección cando cambie a pregunta.