Miért nem mutatja soha egy útvonalválasztott VPN rögzítése a fióktelep VLAN-címkéjét

Az alagút interfészén készített rögzítések soha nem fogják megmutatni a fióktelep VLAN-azonosítóját, és ez a tervezés tulajdonsága, nem pedig az eszköz hiányossága. Az útvonalválasztott TUN-alagút IP-csomagokat továbbít, ezért a címkézett Ethernet-keret, amely a fióktelep kapcsolatán hordozta őket, annál az útválasztónál végződik, amely továbbította őket. Ha a szabályzati kérdése szegmensekre vonatkozik, az érzékelő helyét még a rögzítés elkezdése előtt ki kell jelölni erre a kérdésre. Az Ön által várt VLAN-mezőt olyan kontextussal kell helyettesíteni, amelyet meg tud védeni.

Nézze meg, mit továbbít valójában az alagút interfésze

A TUN IP-csomagokat juttat el a hoszthoz; a TAP Ethernet-kereteket. Az útvonalválasztott tervezés az elsőt használja, ami azt jelenti, hogy a visszafejtés után érkező csomagnak egyáltalán nincs kapcsolati rétegbeli fejléce, és ezért nincs olvasható 802.1Q-címke sem. Az átvitel során semmit nem távolítottak el, mert a címke soha nem lépett be az alagútba. A belső csomag az IP-fejléce elején kezdődik, így minden mező, amelyet egy VLAN-tudatos szabály vár, egyszerűen hiányzik.

A rögzítésről folytatott vita előtt ellenőrizze az interfész típusát, mert az ugyanabban a telepítésben lévő TAP-eszköz másképp viselkedik, és rossz következtetésre vezet.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Az első parancs kiírja az eszköz fajtáját és jelzőit. A második kiírja az első húsz csomag kapcsolati rétegbeli fejlécét, és TUN-eszközön a kimenet IP-vel kezdődik, Ethernet-blokk nélkül, ami az egész magyarázat egyetlen képernyőn.

A TAP választása sem állítja vissza a címkét. A TAP-eszköz kereteket ad át egy hídnak, és hogy mi történik a címkével, az a híd VLAN-szűrésétől és a port beállított tagságától függ. Ez külön tervezési döntés, saját hibaformáival.

Álljon a három hely egyikére, és fogadja el, mit láthat

A fióktelep Ethernet-szegmensén a címke jelen van, de az érzékelő csak az adott szegmens helyi forgalmát látja. A külső VPN-hálózaton a forgalom védett, ezért a megfigyelő végpontokat és mennyiséget tud meg, a belső csomagról pedig semmit. A TUN-útvonalon a visszafejtés után a belső IP-csomag elérhető, címezésével és portjaival együtt, a fióktelep kerete nélkül. Ezért ugyanazon folyam trunkön készült rögzítése és útvonalválasztott rögzítése két különböző beszélgetésnek tűnik.

Ez a három helyzet három különböző kérdésre válaszol, és egyetlen rögzítés nem lehet mindhárom egyszerre.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Futtassa a párost, és hasonlítsa össze. Az első címkézett kereteket és azok VLAN-azonosítóit mutatja ott, ahol a fióktelep kapcsolata trunk a hoszt felé; a második ugyanazt a beszélgetést sima IP-ként mutatja az útvonalválasztás után. Ha az első egyáltalán nem ad vissza semmit, ellenőrizze, hogy a hoszt portja hozzáférési port-e, mert akkor a kapcsoló már eltávolította a címkét, és semmilyen hoszton készült rögzítés nem fogja soha megmutatni.

Cserélje ki a hiányzó címkét egy leképezésre, amelyet meg tud védeni

Ha a szabályzat IP-előtag szerint különbözteti meg a szegmenseket, írja le ezt a leképezést a határaival együtt. Az átfedő címterületek, a forrásfordítás és a megosztott átjáró mindegyike elégtelenné tehet egyetlen előtagot annak meghatározásához, hogy egy csomag valójában honnan érkezett.

Bízzon az irányítása alatt álló interfészben és útválasztási kontextusban, ne az ügyfél által szolgáltatott címkében. Az a fejlécmező, amelyet egy partner beállíthat, nem bizonyíték a tagságra, és az ezt annak tekintő ellenőrzési szabály könnyen megkerülhető.

ip route get 10.20.30.40
ip -br addr show

Az első parancs jelenti azt az interfészt és forrást, amelyet a kernel egy célhoz használna, ami a szegmenshez kapcsolódás helyi nézete. A második interfészenként listázza a címeket, hogy a leképezésében lévő előtagok a diagram helyett a valósággal vethetők össze.

Ellenőrizze a visszairányú utat és a hasznos terhelést, mielőtt megbízik az eredményben

Az egyirányú ellenőrzési pont a beszélgetés felét elvéti, és az aszimmetrikus útvonalválasztás gyakori, ha VPN van a játékban. Erősítse meg, hogy a válaszok ugyanazon az érzékelőn haladnak át, mielőtt az egyoldalú rögzítést teljesnek tekintené.

A belső IP-csomag visszanyerése sem fejti vissza a benne lévő HTTPS-munkamenetet. Ha a szabályzati kérdés tartalomra, nem pedig folyamokra vonatkozik, az érzékelő helyét ismét mozgatni kell, és ez a döntés ugyanahhoz a tervezési dokumentumhoz tartozik.

Egy korlátlan trunk érzékelőig való kiterjesztése csak azért, hogy megjelenjen egy VLAN-mező, megnöveli a hálózati határt anélkül, hogy megválaszolná az eredeti kérdést. Válassza ki a helyet a szabályzat által igényelt információhoz, jegyezze fel, mit nem láthat, és vizsgálja felül a választást, amikor a kérdés megváltozik.