તમારો VPN સેન્સર શાખાની VLAN ટૅગ કેમ કદી જોતું નથી
રૂટેડ ટનલ પૅકેટ પુનઃપ્રાપ્ત કરે છે, તેમને લઈ જનાર ફ્રેમ નહીં. ઇન્ટરફેસ પ્રકાર, સેન્સરની સ્થિતિ, સ્રોત સંદર્ભ અને જવાબ માર્ગ પર ચાર તપાસ.
VPN બાજુનું સેન્સર બે શાખા VLANને સામાન્ય IP ટ્રાફિક તરીકે જુએ છે, અને દરેક શાખાને તેના પોતાના તાર પર ઓળખતી ટૅગ ગાયબ થઈ ગઈ છે. રૂટેડ ટનલ એ જ કરે છે: તે પૅકેટ પુનઃપ્રાપ્ત કરે છે, તેમને પહોંચાડનાર Ethernet ફ્રેમ નહીં. ગુમ થયેલી ટૅગનું મહત્ત્વ છે કે નહીં તે સંપૂર્ણપણે તમે સેન્સરને પૂછેલા પ્રશ્ન પર આધાર રાખે છે. નીચેની ચાર તપાસ ક્રમમાં કરો અને તમે જાણી શકશો કે કયું અવલોકન બિંદુ તેનો જવાબ આપી શકે છે.
પ્રથમ: તમારી ટનલ શું પુનઃપ્રાપ્ત કરે છે તે નક્કી કરો
TUN ઇન્ટરફેસ IP પૅકેટ વહન કરે છે, તેથી શાખાની ફ્રેમનું VLAN હેડર તે રાઉટર પર અટકે છે જેણે ટ્રાફિકને ટનલમાં ધકેલ્યો હતો. TAP ઇન્ટરફેસ Ethernet ફ્રેમ વહન કરે છે, એટલે કે જ્યારે બ્રિજ અને VLAN પ્રવેશ નિયમો તેમને પસાર થવા દે ત્યારે ટૅગ ટકી શકે છે. કૅપ્ચરમાં શું હોવું જોઈએ તે વિચારતા પહેલાં ઇન્ટરફેસનો પ્રકાર વાંચો.
બંનેમાંથી કોઈ પણ વિકલ્પ ખામી નથી. બંને ડિઝાઇન જુદા જુદા પ્રશ્નોના જવાબ આપે છે અને ટૅગને જુદી જુદી જગ્યાએ મૂકે છે.
ઉત્પાદનના નામ પરથી અનુમાન કરવાને બદલે ઇન્ટરફેસ જાતે ચકાસો. લિંકની વિગતો ઉપકરણનો પ્રકાર જણાવે છે અને અમલમાં રહેલા ફ્લૅગ બતાવે છે, અને TUN ઉપકરણ પર લીધેલું કૅપ્ચર ફક્ત તમે માંગ્યું છે એટલે Ethernet હેડર મેળવશે નહીં. જો TUN કૅપ્ચરમાં ટૅગ દેખાય, તો તમે લગભગ ચોક્કસપણે બીજું ઇન્ટરફેસ અથવા એવી ટનલ વાંચી રહ્યા છો જે તેના પેલોડની અંદર ફ્રેમ વહન કરે છે. આગળ વધતા પહેલાં નોંધો કે તમે કઈ સ્થિતિમાં છો.
બીજું: સેન્સરને ત્યાં મૂકો જ્યાં વસ્તુ હજી અસ્તિત્વમાં છે
ત્રણ સ્થિતિઓ મોટાભાગની રૂટેડ ડિઝાઇન આવરી લે છે: શાખાનું Ethernet સેગમેન્ટ, ટનલના છેડાઓ વચ્ચેનું બહારનું નેટવર્ક અને ટનલ પ્રોસેસિંગ પછીનો માર્ગ. દરેક જુદી વસ્તુ જુએ છે, અને ટૅગ ફક્ત પહેલીમાં જ અસ્તિત્વમાં છે. સેન્સરની સ્થિતિ પસંદ કરવી એ નીતિને કઈ વસ્તુની જરૂર છે તેનો નિર્ણય છે, સગવડનો પ્રશ્ન નહીં.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
નીતિનો પ્રશ્ન એવી ભાષામાં પૂછો કે જેનો જવાબ ટેબલ આપી શકે, અને સામાન્ય રીતે તે જાતે જ ઉકેલાઈ જાય છે. જો નિયમને જાણવાનું હોય કે પૅકેટ કઈ શાખાથી આવ્યું, તો નીચેના પ્રિફિક્સ મૅપિંગ પૂરતું હોઈ શકે, પણ ફક્ત ત્યાં સુધી જ જ્યાં સુધી એ મૅપિંગ સચોટ અને અસંદિગ્ધ રહે. જો નિયમને જાણવાનું હોય કે ફ્રેમ કયા પોર્ટ પર આવી, તો તમારે પ્રથમ સ્થિતિની જરૂર છે, કારણ કે નીચે કંઈ પણ તેને ફરી બનાવી શકતું નથી. પ્રશ્નને બદલે આદતથી મૂકાયેલા સેન્સર જ ટીમોને એવું ક્ષેત્ર માંગવા લાવે છે જે ડિઝાઇને કદી ધર્યું નહોતું.
Ethernet વહન કરતી ટનલ જુદી ડિઝાઇન છે અને છેડા શું જાળવે કે ફરી લખે છે તેની પોતાની તપાસ જરૂરી છે. ફક્ત TAP પસંદ કરવાથી હજી પણ બ્રિજ, VLAN પ્રવેશ નિયમો કે નિરીક્ષણ નીતિ નક્કી થતી નથી.
ત્રીજું: સ્રોત સંદર્ભ પર ભરોસો કરવાને બદલે તેને પ્રાપ્ત કરો
દરેક શાખા માટે એક સરનામા શ્રેણી એ VLAN ઓળખનો સામાન્ય વિકલ્પ છે, અને તે ફક્ત ત્યાં સુધી ટકે છે જ્યાં સુધી મૅપિંગ એક-એક રહે. એકરવર્તી પ્રિફિક્સ, અનુવાદ અને વહેંચાયેલ ગેટવે દરેક એ ધારણાને એવી રીતે તોડે છે જે ડિઝાઇનની નહીં, ડેટા ગુણવત્તાની સમસ્યા જેવી લાગે. મૅપિંગ તેની સીમાઓ સાથે લખો અને કહો કે બે પંક્તિઓ સાથે મેળ ખાતા પૅકેટ સાથે શું થાય છે. બે શાખાઓમાં દેખાતું પ્રિફિક્સ તમે શોધી કાઢો એવી ભૂલ હોવી જોઈએ, તમે સ્વીકારો એવી સિક્કો ઉછાળ નહીં.
ક્લાઇન્ટ આપેલો સંદર્ભ સભ્યપદનો પુરાવો નથી. તે એક દાવો છે, અને તેનું સ્થાન બીજા કૉલમમાં છે.
જ્યાં આ ભેદ મહત્ત્વનો છે ત્યાં તમારા નિયંત્રણ હેઠળના સંલગ્નતા-ડેટાનો ઉપયોગ કરો: કઈ ટનલ ઇન્સ્ટન્સે જોડાણ સ્વીકાર્યું, પૅકેટ કયા ઇન્ટરફેસ પર આવ્યાં, સ્થાનિક રૂટ ટેબલ તે સહભાગી વિશે શું કહે છે. ક્લાઇન્ટ આપેલું લેબલ ઉપયોગી સંકેત છે અને નકામું અધિકૃતતા ઇનપુટ છે. જો સેન્સર પોતાની બાજુથી સંલગ્નતા સ્થાપિત કરી શકતું ન હોય, તો નીતિને આત્મવિશ્વાસુ અનુમાનને બદલે વિશાળ નિયમની જરૂર છે.
ચોથું: જવાબ માર્ગ અને ડિક્રિપ્શન શું ચૂકે છે તેની પુષ્ટિ કરો
ફક્ત એક દિશા જોતું સેન્સર હજી પણ સ્વસ્થ દેખાઈ શકે છે, કારણ કે વિનંતીઓ સમયસર આવતી રહે છે. જવાબ માર્ગ સ્પષ્ટપણે તપાસો, અને સામાન્ય પહોંચને બદલે એ જ ફ્લો માટે તપાસો. અર્ધ-દ્વિમુખી દૃશ્યતા તેમાંથી તમે કાઢો તે દરેક સ્થિતિ-આધારિત નિષ્કર્ષમાં શાંત અંતર બની જાય છે.
અંદરનો IP ટ્રાફિક પુનઃપ્રાપ્ત કરવો એ તેની અંદરની એપ્લિકેશન જોવા જેવું પણ નથી, કારણ કે ટનલ પર વહન થતું TLS TLS જ રહે છે.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5એ બે આદેશ ઇન્ટરફેસનો પ્રશ્ન જવાબે છે અને કૅપ્ચરમાં ખરેખર શું છે તે બતાવે છે, જે આર્કિટેક્ચર વિશે દલીલ કરવા કરતાં ઝડપી છે. તમારી ડિઝાઇન જે ઇન્ટરફેસ નામ વાપરે છે તે મૂકો અને જે ફ્લો તમને મહત્ત્વનો છે તે સક્રિય હોય ત્યારે કૅપ્ચર ચલાવો. જ્યારે TUN ઉપકરણ પર કોઈ ટૅગ દેખાતી નથી, ત્યારે નિષ્કર્ષ એ છે કે ડિઝાઇને બ્રિજ કરવાને બદલે રૂટ કર્યું, એ નહીં કે સેન્સરે ડેટા ગુમાવ્યો. પછી કાં તો સેન્સરને એવી સ્થિતિ પર ખસેડો જે ટૅગ જોઈ શકે, અથવા નિયમને એવી ભાષામાં ફરી લખો જે વર્તમાન સ્થિતિ ટેકો આપી શકે.