Zašto vaš VPN senzor nikada ne vidi VLAN oznaku ogranka

Senzor na strani VPN-a vidi dvije VLAN mreže ogranaka kao običan IP promet, a oznaka koja je svaki ogranak identificirala na njegovoj vlastitoj žici je nestala. To je ono što rutirani tunel radi: vraća pakete, a ne Ethernet okvire koji su ih dostavili. Ima li oznaka koja nedostaje ikakvu važnost, ovisi isključivo o pitanju koje postavljate senzoru. Prođite kroz četiri provjere u nastavku redom i znat ćete koja točka promatranja može odgovoriti na njega.

Prvo: utvrdite što vaš tunel vraća

Sučelje TUN prenosi IP pakete, pa se VLAN zaglavlje okvira ogranka zaustavlja na usmjerivaču koji je gurnuo promet u tunel. Sučelje TAP prenosi Ethernet okvire, što znači da oznake mogu preživjeti kada most i pravila propuštanja VLAN-a to dopuste. Pročitajte vrstu sučelja prije nego zaključujete što bi snimka trebala sadržavati.

Nijedan izbor nije nedostatak. Dva nacrta odgovaraju na različita pitanja i ostavljaju oznaku na različitim mjestima.

Provjerite sučelje sami umjesto da ga izvodite iz naziva proizvoda. Pojedinosti veze navode vrstu uređaja i pokazuju zastavice koje su na snazi, a snimka uzeta na uređaju TUN neće dobiti Ethernet zaglavlje samo zato što ste ga zatražili. Ako se oznake ipak pojave na snimci TUN-a, gotovo sigurno čitate drugo sučelje ili tunel koji prenosi okvire unutar svog korisnog tereta. Zabilježite u kojem ste slučaju prije nego što nastavite.

Drugo: postavite senzor tamo gdje objekt još postoji

Tri položaja pokrivaju većinu rutiranih nacrta: Ethernet segment ogranka, vanjska mreža između krajnjih točaka tunela i put nakon obrade tunela. Svaki vidi drukčiji objekt, a oznaka postoji samo na prvom. Odabir položaja senzora odluka je o tome koji objekt politika treba, a ne pitanje praktičnosti.

Postavite pitanje politike u terminima na koje tablica može odgovoriti i ono se obično samo riješi. Ako pravilo treba znati iz kojeg je ogranka paket došao, mapiranje prefiksa nizvodno može biti dovoljno, ali samo dok je to mapiranje točno i nedvosmisleno. Ako pravilo treba znati na koja je vrata okvir stigao, trebate prvi položaj, jer ništa nizvodno to ne može rekonstruirati. Senzori postavljeni iz navike, a ne iz pitanja, način su na koji timovi završe tražeći polje koje nacrt nikada nije nosio.

Tunel koji prenosi Ethernet drukčiji je nacrt i traži vlastitu provjeru onoga što krajnje točke čuvaju ili prepisuju. Sam odabir TAP-a još uvijek ne definira most, pravila propuštanja VLAN-a ni politiku inspekcije.

Treće: zaslužite kontekst izvora umjesto da mu vjerujete

Jedan raspon adresa po ogranku uobičajena je zamjena za identitet VLAN-a i vrijedi samo dok mapiranje ostaje jedan na jedan. Prefiksi koji se preklapaju, prijevod i zajednički gateway svaki ruše tu pretpostavku na način koji izgleda kao problem kvalitete podataka, a ne nacrta. Zapišite mapiranje s njegovim granicama i recite što se događa s paketom koji odgovara dva retka. Prefiks koji se pojavljuje u dva ogranka trebao bi biti pogreška koju otkrijete, a ne bacanje novčića koje prihvatite.

Kontekst koji pruža klijent nije dokaz članstva. To je tvrdnja i pripada u drugi stupac.

Gdje je razlika važna, upotrijebite podatke o povezanosti koje kontrolirate: koja je instanca tunela prihvatila vezu, na koje su sučelje paketi stigli, što lokalna tablica usmjeravanja kaže o tom partneru. Oznaka koju pruža klijent korisna je naznaka i beskorisan ulaz za autorizaciju. Ako senzor ne može utvrditi povezanost sa svoje strane, politici treba šire pravilo, a ne samouvjerena pretpostavka.

Četvrto: potvrdite put odgovora i što dešifriranje propušta

Senzor koji vidi samo jedan smjer i dalje može izgledati zdrav, jer zahtjevi stalno pristižu prema rasporedu. Provjerite put odgovora izričito i provjerite ga za isti tok, a ne za opću dostupnost. Poludupleksna vidljivost postaje tiha praznina u svakom zaključku koji se oslanja na stanje.

Vraćanje unutarnjeg IP prometa također nije isto što i viđenje aplikacije unutar njega, jer TLS koji se prenosi tunelom ostaje TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Te dvije naredbe odgovaraju na pitanje sučelja i pokazuju što snimka doista sadrži, što je brže od rasprave o arhitekturi. Zamijenite naziv sučelja koji upotrebljava vaš nacrt i pokrenite snimanje dok je tok koji vas zanima aktivan. Kada se na uređaju TUN ne pojavi nikakva oznaka, nalaz je da je nacrt rutirao umjesto premošćivao, a ne da je senzor ispustio podatke. Zatim ili pomaknite senzor na položaj koji može vidjeti oznaku, ili prepišite pravilo u terminima koje trenutačni položaj može podržati.