आपका VPN सेंसर शाखा का VLAN टैग कभी क्यों नहीं देखता
रूटेड टनल पैकेट वापस पाती है, वे फ़्रेम नहीं जो उन्हें ले गए थे। इंटरफ़ेस प्रकार, सेंसर की जगह, स्रोत संदर्भ और उत्तर पथ पर चार जाँचें।
VPN की ओर का सेंसर दो शाखा VLAN को साधारण IP ट्रैफ़िक की तरह देखता है, और वह टैग गायब है जो हर शाखा को उसकी अपनी तार पर पहचानता था। रूटेड टनल यही करती है: वह पैकेट वापस पाती है, वे Ethernet फ़्रेम नहीं जो उन्हें पहुँचाते थे। गायब टैग मायने रखता है या नहीं, यह पूरी तरह उस सवाल पर निर्भर है जो आप सेंसर से पूछते हैं। नीचे दी चार जाँचें क्रम से कीजिए और आपको पता चल जाएगा कि कौन-सा अवलोकन बिंदु उसका उत्तर दे सकता है।
पहला: तय कीजिए कि आपकी टनल क्या वापस पाती है
TUN इंटरफ़ेस IP पैकेट ले जाता है, इसलिए शाखा के फ़्रेम का VLAN हेडर उसी राउटर पर रुक जाता है जिसने ट्रैफ़िक को टनल में धकेला था। TAP इंटरफ़ेस Ethernet फ़्रेम ले जाता है, जिसका अर्थ है कि जब ब्रिज और VLAN प्रवेश नियम उन्हें जाने दें तो टैग बच सकते हैं। यह सोचने से पहले कि कैप्चर में क्या होना चाहिए, इंटरफ़ेस का प्रकार पढ़िए।
दोनों में से कोई विकल्प दोष नहीं है। दोनों डिज़ाइन अलग सवालों का उत्तर देते हैं और टैग को अलग जगहों पर छोड़ते हैं।
इंटरफ़ेस को उत्पाद के नाम से अनुमान लगाने के बजाय स्वयं पुष्टि कीजिए। लिंक का विवरण डिवाइस का प्रकार बताता है और लागू फ़्लैग दिखाता है, और TUN डिवाइस पर लिया गया कैप्चर केवल इसलिए Ethernet हेडर नहीं पा लेगा कि आपने माँगा था। अगर TUN कैप्चर में फिर भी टैग दिखें, तो आप लगभग निश्चित रूप से कोई दूसरा इंटरफ़ेस या ऐसी टनल पढ़ रहे हैं जो फ़्रेम को अपने पेलोड के भीतर ले जाती है। आगे बढ़ने से पहले नोट कीजिए कि आप किस स्थिति में हैं।
दूसरा: सेंसर को वहाँ रखिए जहाँ वस्तु अभी भी मौजूद है
तीन जगहें अधिकांश रूटेड डिज़ाइनों को कवर करती हैं: शाखा का Ethernet खंड, टनल के सिरों के बीच का बाहरी नेटवर्क, और टनल प्रोसेसिंग के बाद का पथ। हर एक अलग वस्तु देखती है, और टैग केवल पहली में मौजूद है। सेंसर की जगह चुनना इस बात का फ़ैसला है कि नीति को कौन-सी वस्तु चाहिए, सुविधा का सवाल नहीं।
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
नीति का सवाल ऐसे शब्दों में पूछिए जिनका उत्तर तालिका दे सके, और वह प्रायः अपने आप हल हो जाता है। अगर नियम को यह जानना है कि पैकेट किस शाखा से आया, तो नीचे की ओर प्रीफ़िक्स मैपिंग काफ़ी हो सकती है, पर केवल तब तक जब तक वह मैपिंग सटीक और स्पष्ट रहे। अगर नियम को यह जानना है कि फ़्रेम किस पोर्ट पर आया, तो आपको पहली जगह चाहिए, क्योंकि नीचे की ओर कुछ भी उसे दोबारा नहीं बना सकता। सवाल के बजाय आदत से रखे गए सेंसर ही टीमों को ऐसा फ़ील्ड माँगने तक ले जाते हैं जो डिज़ाइन ने कभी नहीं रखा था।
Ethernet ले जाने वाली टनल अलग डिज़ाइन है और उसे यह जाँचने की अपनी ज़रूरत है कि सिरे क्या सुरक्षित रखते हैं या फिर से लिखते हैं। केवल TAP चुनना अभी भी ब्रिज, VLAN प्रवेश नियम या निरीक्षण नीति को परिभाषित नहीं करता।
तीसरा: स्रोत संदर्भ पर भरोसा करने के बजाय उसे अर्जित कीजिए
हर शाखा के लिए एक पता-परास VLAN पहचान का सामान्य विकल्प है, और यह केवल तब तक टिकता है जब तक मैपिंग एक-से-एक रहे। अतिव्यापी प्रीफ़िक्स, अनुवाद और साझा गेटवे में से हर एक उस धारणा को ऐसे तोड़ता है जो डिज़ाइन की नहीं, डेटा गुणवत्ता की समस्या जैसा दिखता है। मैपिंग को उसकी सीमाओं के साथ लिखिए और बताइए कि दो पंक्तियों से मेल खाने वाले पैकेट के साथ क्या होता है। दो शाखाओं में दिखने वाला प्रीफ़िक्स आपकी पकड़ी हुई त्रुटि होनी चाहिए, आपका स्वीकार किया हुआ सिक्का उछाल नहीं।
क्लाइंट द्वारा दिया गया संदर्भ सदस्यता का प्रमाण नहीं है। यह एक दावा है, और इसकी जगह दूसरे कॉलम में है।
जहाँ यह भेद मायने रखता है, वहाँ अपने नियंत्रण वाले संबंध-डेटा का उपयोग कीजिए: किस टनल इंस्टेंस ने कनेक्शन स्वीकार किया, पैकेट किस इंटरफ़ेस पर आए, स्थानीय रूट तालिका उस सहकर्मी के बारे में क्या कहती है। क्लाइंट द्वारा दिया गया लेबल एक उपयोगी संकेत है और एक बेकार प्राधिकरण इनपुट। अगर सेंसर अपनी ओर से संबंध स्थापित नहीं कर सकता, तो नीति को आत्मविश्वासी अनुमान के बजाय व्यापक नियम चाहिए।
चौथा: उत्तर पथ और डिक्रिप्शन क्या चूकता है इसकी पुष्टि कीजिए
केवल एक दिशा देखने वाला सेंसर भी स्वस्थ दिख सकता है, क्योंकि अनुरोध समय पर आते रहते हैं। उत्तर पथ की स्पष्ट रूप से जाँच कीजिए, और उसकी जाँच उसी प्रवाह के लिए कीजिए, सामान्य पहुँच के लिए नहीं। अर्ध-द्विदिश दृश्यता उससे निकाले गए हर स्थिति-आधारित निष्कर्ष में एक मौन अंतराल बन जाती है।
भीतरी IP ट्रैफ़िक वापस पाना भी उसके भीतर के अनुप्रयोग को देखने के बराबर नहीं है, क्योंकि टनल पर ले जाया गया TLS TLS ही रहता है।
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5ये दो कमांड इंटरफ़ेस का सवाल जवाब देते हैं और दिखाते हैं कि कैप्चर में वास्तव में क्या है, जो आर्किटेक्चर पर बहस करने से तेज़ है। उस इंटरफ़ेस का नाम रखिए जो आपका डिज़ाइन उपयोग करता है और कैप्चर तब चलाइए जब आपके लिए महत्वपूर्ण प्रवाह सक्रिय हो। जब TUN डिवाइस पर कोई टैग नहीं दिखता, तो निष्कर्ष यह है कि डिज़ाइन ने ब्रिज करने के बजाय रूट किया, यह नहीं कि सेंसर ने डेटा गिराया। फिर या तो सेंसर को ऐसी जगह ले जाइए जो टैग देख सके, या नियम को ऐसे शब्दों में फिर से लिखिए जिन्हें मौजूदा जगह सँभाल सके।