Zašto snimka rutirane VPN nikada ne prikazuje VLAN oznaku grane

Snimke napravljene na interfejsu tunela nikada neće prikazati VLAN ID grane, i to je svojstvo dizajna, a ne praznina u alatu. Rutirani TUN tunel prenosi IP pakete, pa označeni Ethernet okvir koji ih je nosio na linku grane završava na ruteru koji ih je rutirao. Ako se vaše pitanje politike odnosi na segmente, pozicija senzora mora biti odabrana za to pitanje prije početka snimanja. Polje VLAN koje ste očekivali mora biti zamijenjeno kontekstom koji možete braniti.

Pogledajte šta interfejs tunela zaista prenosi

TUN dostavlja IP pakete domaćinu; TAP dostavlja Ethernet okvire. Rutirani dizajn koristi prvo, što znači da paket koji stiže nakon dešifrovanja uopšte nema zaglavlje sloja veze, pa prema tome nema ni 802.1Q oznaku za čitanje. Ništa nije uklonjeno na putu, jer oznaka nikada nije ušla u tunel. Unutrašnji paket počinje od svog IP zaglavlja, pa je svako polje koje pravilo svjesno VLAN-a očekuje jednostavno odsutno.

Potvrdite tip interfejsa prije nego što raspravljate o snimci, jer će se TAP uređaj u istom postavljanju ponašati drugačije i navesti na pogrešan zaključak.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Prva komanda ispisuje vrstu uređaja i njegove zastavice. Druga ispisuje zaglavlja sloja veze za prvih dvadeset paketa, a na TUN uređaju izlaz počinje od IP-a bez Ethernet bloka, što je cijelo objašnjenje na jednom ekranu.

Biranje TAP-a takođe ne vraća oznaku. TAP uređaj prosljeđuje okvire mostu, a šta se dešava s oznakom zavisi od VLAN filtriranja mosta i konfigurisanog članstva porta. To je zasebna dizajnerska odluka sa sopstvenim načinima kvara.

Stanite na jedno od tri mjesta i prihvatite šta ono može vidjeti

Na Ethernet segmentu grane oznaka je prisutna, ali senzor vidi samo lokalni saobraćaj na tom segmentu. Na vanjskoj VPN mreži saobraćaj je zaštićen, pa posmatrač saznaje krajnje tačke i obim i ništa o unutrašnjem paketu. Na TUN putu nakon dešifrovanja unutrašnji IP paket je dostupan, sa svojim adresiranjem i portovima, i bez okvira grane. Zato snimka na trunku i rutirana snimka istog toka izgledaju kao dva različita razgovora.

Te tri pozicije odgovaraju na tri različita pitanja, a jedna snimka ne može biti sve tri odjednom.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Pokrenite par i uporedite. Prva prikazuje označene okvire i njihove VLAN ID-ove tamo gdje je link grane trunkovan prema domaćinu; druga prikazuje isti razgovor kao običan IP nakon rutiranja. Ako prva ne vrati ništa, provjerite da li je port domaćina pristupni port, jer je tada oznaku već uklonio prekidač i nikakva snimka na domaćinu je nikada neće prikazati.

Zamijenite nedostajuću oznaku mapiranjem koje možete braniti

Ako politika razlikuje segmente po IP prefiksu, zapišite to mapiranje zajedno s njegovim granicama. Preklapajući rasponi adresa, prevođenje izvora i zajednički gateway mogu svaki učiniti jedan prefiks nedovoljnim za identifikaciju odakle paket zaista dolazi.

Vjerujte interfejsu i kontekstu rutiranja koje kontrolišete, a ne oznaci koju klijent dostavlja. Polje zaglavlja koje peer može postaviti nije dokaz članstva, a pravilo inspekcije koje ga tako tretira lako se zaobilazi.

ip route get 10.20.30.40
ip -br addr show

Prva komanda izvještava koji bi interfejs i izvor kernel koristio za odredište, što je lokalni pogled na priključenje segmenta. Druga navodi adrese po interfejsu kako bi se prefiksi u vašem mapiranju mogli provjeriti prema stvarnosti, a ne prema dijagramu.

Provjerite povratni put i korisni teret prije nego što povjerujete rezultatu

Tačka inspekcije koja vidi samo jedan smjer propustiće pola razgovora, a asimetrično rutiranje je uobičajeno kad je uključen VPN. Potvrdite da odgovori prolaze kroz isti senzor prije nego što jednostranu snimku smatrate potpunom.

Oporavak unutrašnjeg IP paketa takođe ne dešifruje HTTPS sesiju unutar njega. Ako se pitanje politike odnosi na sadržaj, a ne na tokove, pozicija senzora se mora ponovo pomjeriti, a ta odluka pripada istom dizajnerskom dokumentu.

Proširivanje neograničenog trunka do senzora samo da bi se pojavilo polje VLAN povećava mrežnu granicu bez odgovora na prvobitno pitanje. Odaberite poziciju za informacije koje politika treba, zabilježite šta ne može vidjeti i preispitajte izbor kada se pitanje promijeni.