Por que o seu sensor de VPN nunca ve a etiqueta VLAN da sucursal

Un sensor do lado da VPN ve dúas VLAN de sucursal como tráfico IP simple, e a etiqueta que identificaba cada sucursal no seu propio cable desapareceu. Iso é o que fai un túnel encamiñado: recupera paquetes, non as tramas Ethernet que os entregaron. Que a etiqueta ausente importe depende por completo da pregunta que lle faga ao sensor. Realice as catro comprobacións seguintes en orde e saberá que punto de observación pode respondela.

Primeiro: estableza que recupera o seu túnel

Unha interface TUN transporta paquetes IP, así que a cabeceira VLAN da trama de sucursal detense no encamiñador que empurrou o tráfico ao túnel. Unha interface TAP transporta tramas Ethernet, o que significa que as etiquetas poden sobrevivir cando a ponte e as regras de admisión de VLAN as deixan pasar. Lea o tipo de interface antes de razoar sobre que debería conter unha captura.

Ningunha das dúas opcións é un defecto. Os dous deseños responden preguntas distintas e deixan a etiqueta en lugares distintos.

Confirme a interface vostede mesmo en lugar de deducila do nome do produto. Os detalles da ligazón nomean o tipo de dispositivo e mostran os indicadores vixentes, e unha captura tomada nun dispositivo TUN non vai gañar unha cabeceira Ethernet só porque vostede a pedise. Se aparecen etiquetas nunha captura TUN, case con seguridade está a ler outra interface ou un túnel que transporta tramas dentro da súa carga útil. Anote en que caso se atopa antes de continuar.

Segundo: coloque o sensor onde o obxecto aínda existe

Tres posicións cobren a maioría dos deseños encamiñados: o segmento Ethernet da sucursal, a rede exterior entre os extremos do túnel e a ruta despois do procesamento do túnel. Cada unha ve un obxecto distinto, e a etiqueta só existe na primeira. Escoller unha posición de sensor é unha decisión sobre que obxecto necesita a política, non unha cuestión de comodidade.

Formule a pregunta de política en termos que a táboa poida responder, e normalmente resólvese soa. Se a regra necesita saber de que sucursal veu un paquete, o mapa de prefixos augas abaixo pode abondar, pero só mentres ese mapa sexa exacto e inequívoco. Se a regra necesita saber por que porto chegou a trama, necesita a primeira posición, porque nada augas abaixo pode reconstruílo. Os sensores colocados por costume e non por pregunta son a forma en que os equipos acaban esixindo un campo que o deseño nunca levou.

Un túnel que transporta Ethernet é un deseño distinto e necesita a súa propia comprobación do que preservan ou reescriben os extremos. Escoller TAP por si só aínda non define a ponte, as regras de admisión de VLAN nin a política de inspección.

Terceiro: gañe o contexto de orixe en lugar de confiar nel

Un rango de enderezos por sucursal é o substituto habitual da identidade VLAN, e só se sostén mentres o mapa siga sendo un a un. Os prefixos solapados, a tradución e unha pasarela compartida rompen cada unha esa suposición dun xeito que parece un problema de calidade de datos e non de deseño. Escriba o mapa cos seus límites e diga que ocorre cun paquete que coincide con dúas filas. Un prefixo que aparece en dúas sucursais debería ser un erro que vostede detecta, non un lanzamento de moeda que vostede acepta.

O contexto que achega o cliente non é proba de pertenza. É unha afirmación, e pertence a outra columna.

Onde a distinción importa, use datos de asociación que vostede controle: que instancia de túnel aceptou a conexión, en que interface chegaron os paquetes, que di a táboa de rutas local dese par. Unha etiqueta proporcionada polo cliente é unha pista útil e unha entrada de autorización inútil. Se o sensor non pode establecer a asociación desde o seu propio lado, a política necesita unha regra máis ampla e non unha suposición confiada.

Cuarto: confirme a ruta de resposta e que pasa por alto o descifrado

Un sensor que só ve unha dirección aínda pode parecer san, porque as peticións seguen chegando a tempo. Comprobe a ruta de resposta de forma explícita, e compróbea para o mesmo fluxo e non para a accesibilidade xeral. A visibilidade de medio dúplex convértese nun oco silencioso en calquera conclusión con estado que saque dela.

Recuperar o tráfico IP interno tampouco é o mesmo que ver a aplicación dentro del, porque o TLS transportado polo túnel segue sendo TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Eses dous comandos responden a pregunta da interface e mostran que contén realmente a captura, o que é máis rápido que discutir sobre a arquitectura. Substitúa o nome de interface que usa o seu deseño e execute a captura mentres o fluxo que lle interesa está activo. Cando non aparece ningunha etiqueta nun dispositivo TUN, o achado é que o deseño encamiñou en lugar de pontear, non que o sensor perdeu datos. Logo, ou ben mova o sensor a unha posición que poida ver a etiqueta, ou ben reescriba a regra en termos que a posición actual poida soster.