रूटेड VPN कैप्चर शाखा का VLAN टैग कभी क्यों नहीं दिखाता

टनल इंटरफ़ेस पर लिए गए कैप्चर कभी शाखा का VLAN ID नहीं दिखाएँगे, और यह टूल की कमी नहीं बल्कि डिज़ाइन की विशेषता है। रूटेड TUN टनल IP पैकेट ले जाती है, इसलिए जो टैग किया गया Ethernet फ्रेम उन्हें शाखा लिंक पर ले जा रहा था, वह उसी राउटर पर समाप्त होता है जिसने उन्हें रूट किया। यदि आपकी नीति का प्रश्न सेगमेंट के बारे में है, तो कैप्चर शुरू होने से पहले उस प्रश्न के लिए सेंसर की स्थिति चुननी होगी। जिस VLAN फ़ील्ड की आप अपेक्षा कर रहे थे, उसे ऐसे संदर्भ से बदलना होगा जिसका आप बचाव कर सकें।

देखें कि टनल इंटरफ़ेस वास्तव में क्या ले जाता है

TUN होस्ट तक IP पैकेट पहुँचाता है; TAP Ethernet फ्रेम पहुँचाता है। रूटेड डिज़ाइन पहले का उपयोग करता है, जिसका अर्थ है कि डिक्रिप्शन के बाद आने वाले पैकेट में लिंक-लेयर हेडर ही नहीं होता, और इसलिए पढ़ने के लिए कोई 802.1Q टैग नहीं होता। रास्ते में कुछ हटाया नहीं गया, क्योंकि टैग कभी टनल में प्रवेश ही नहीं कर पाया। भीतरी पैकेट अपने IP हेडर से शुरू होता है, इसलिए VLAN-सजग नियम जिस हर फ़ील्ड की अपेक्षा करता है, वह बस अनुपस्थित है।

कैप्चर पर बहस करने से पहले इंटरफ़ेस का प्रकार पुष्ट करें, क्योंकि उसी परिनियोजन में TAP उपकरण अलग व्यवहार करेगा और गलत निष्कर्ष की ओर ले जाएगा।

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

पहला आदेश उपकरण का प्रकार और उसके फ़्लैग छापता है। दूसरा पहले बीस पैकेटों के लिंक-लेयर हेडर छापता है, और TUN उपकरण पर आउटपुट Ethernet ब्लॉक के बिना IP से शुरू होता है, जो एक स्क्रीन में पूरी व्याख्या है।

TAP चुनने से भी टैग बहाल नहीं होता। TAP उपकरण फ्रेम ब्रिज को भेजता है, और टैग के साथ क्या होता है यह ब्रिज के VLAN फ़िल्टरिंग और पोर्ट की विन्यस्त सदस्यता पर निर्भर करता है। यह अपने स्वयं के विफलता मोड वाला अलग डिज़ाइन निर्णय है।

तीन में से एक स्थान पर खड़े हों और स्वीकार करें कि वह क्या देख सकता है

शाखा के Ethernet सेगमेंट पर टैग मौजूद है, लेकिन सेंसर केवल उस सेगमेंट का स्थानीय ट्रैफ़िक देखता है। बाहरी VPN नेटवर्क पर ट्रैफ़िक सुरक्षित है, इसलिए देखने वाला केवल अंतिम बिंदु और मात्रा जानता है और भीतरी पैकेट के बारे में कुछ नहीं। डिक्रिप्शन के बाद TUN पथ पर भीतरी IP पैकेट उपलब्ध है, उसके एड्रेसिंग और पोर्टों सहित, और शाखा के फ्रेम के बिना। इसलिए एक ही प्रवाह के ट्रंक पर कैप्चर और रूटेड कैप्चर दो अलग बातचीत जैसे दिखते हैं।

वे तीन स्थितियाँ तीन अलग प्रश्नों का उत्तर देती हैं, और एक कैप्चर एक साथ तीनों नहीं हो सकता।

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

जोड़ी चलाएँ और तुलना करें। पहला टैग किए गए फ्रेम और उनके VLAN ID दिखाता है जहाँ शाखा लिंक होस्ट की ओर ट्रंक किया गया है; दूसरा रूटिंग के बाद वही बातचीत सादे IP के रूप में दिखाता है। यदि पहला कुछ भी नहीं लौटाता, तो जाँचें कि होस्ट पोर्ट एक्सेस पोर्ट है या नहीं, क्योंकि तब स्विच टैग को पहले ही हटा चुका है और होस्ट पर कोई भी कैप्चर उसे कभी नहीं दिखाएगा।

गुम टैग को ऐसी मैपिंग से बदलें जिसका आप बचाव कर सकें

यदि नीति सेगमेंट को IP प्रीफ़िक्स से अलग करती है, तो वह मैपिंग उसकी सीमाओं के साथ लिखें। अतिव्यापी पता श्रेणियाँ, स्रोत अनुवाद और साझा गेटवे में से प्रत्येक एक प्रीफ़िक्स को यह पहचानने के लिए अपर्याप्त बना सकता है कि पैकेट वास्तव में कहाँ से आया।

जिस इंटरफ़ेस और रूटिंग संदर्भ को आप नियंत्रित करते हैं उस पर भरोसा करें, क्लाइंट द्वारा दिए गए लेबल पर नहीं। पीयर जिस हेडर फ़ील्ड को सेट कर सकता है वह सदस्यता का प्रमाण नहीं है, और उसे ऐसा मानने वाला निरीक्षण नियम आसानी से बचा जा सकता है।

ip route get 10.20.30.40
ip -br addr show

पहला आदेश बताता है कि कर्नेल किसी गंतव्य के लिए कौन-सा इंटरफ़ेस और स्रोत उपयोग करेगा, जो सेगमेंट जुड़ाव का स्थानीय दृश्य है। दूसरा प्रत्येक इंटरफ़ेस के लिए पते सूचीबद्ध करता है ताकि आपकी मैपिंग के प्रीफ़िक्स आरेख के बजाय वास्तविकता के सामने जाँचे जा सकें।

परिणाम पर भरोसा करने से पहले वापसी पथ और पेलोड जाँचें

केवल एक दिशा देखने वाला निरीक्षण बिंदु आधी बातचीत चूक जाएगा, और VPN शामिल होने पर असममित रूटिंग सामान्य है। एकतरफ़ा कैप्चर को पूर्ण मानने से पहले पुष्ट करें कि उत्तर उसी सेंसर से गुज़रते हैं।

भीतरी IP पैकेट को पुनः प्राप्त करना उसके भीतर के HTTPS सत्र को भी डिक्रिप्ट नहीं करता। यदि नीति का प्रश्न प्रवाह के बजाय सामग्री के बारे में है, तो सेंसर की स्थिति फिर से बदलनी होगी, और वह निर्णय उसी डिज़ाइन दस्तावेज़ का है।

केवल VLAN फ़ील्ड दिखाने के लिए एक अप्रतिबंधित ट्रंक को सेंसर तक बढ़ाना मूल प्रश्न का उत्तर दिए बिना नेटवर्क सीमा को बड़ा करता है। नीति को जरूरी जानकारी के लिए स्थिति चुनें, जो वह नहीं देख सकता उसे दर्ज करें, और प्रश्न बदलने पर चयन पर पुनर्विचार करें।