Miért nem látja soha a VPN-érzékelő a fióktelep VLAN-címkéjét
Egy útvonalválasztott alagút csomagokat állít helyre, nem azokat a kereteket, amelyek szállították őket. Négy ellenőrzés az interfész típusáról, az érzékelő helyéről, a forráskontextusról és a válaszútról.
A VPN oldalán lévő érzékelő két fióktelep-VLAN-t lát sima IP-forgalomként, és eltűnt a címke, amely az egyes fióktelepeket a saját vezetékén azonosította. Ezt teszi egy útvonalválasztott alagút: csomagokat állít helyre, nem azokat az Ethernet-kereteket, amelyek kézbesítették őket. Hogy a hiányzó címke számít-e, teljesen az érzékelőnek feltett kérdéstől függ. Végezze el az alábbi négy ellenőrzést sorrendben, és tudni fogja, melyik megfigyelési pont tud rá válaszolni.
Először: állapítsa meg, mit állít helyre az alagútja
A TUN interfész IP-csomagokat szállít, ezért a fióktelep keretének VLAN-fejléce annál az útválasztónál megáll, amely a forgalmat az alagútba tolta. A TAP interfész Ethernet-kereteket szállít, ami azt jelenti, hogy a címkék túlélhetik, ha a híd és a VLAN-fogadási szabályok átengedik őket. Olvassa el az interfész típusát, mielőtt arról gondolkodna, mit kellene tartalmaznia egy rögzítésnek.
Egyik választás sem hiba. A két terv különböző kérdésekre válaszol, és különböző helyen hagyja a címkét.
Saját maga ellenőrizze az interfészt, ne a termék nevéből következtessen rá. A kapcsolat részletei megnevezik az eszköz típusát és mutatják az érvényben lévő jelzőket, és a TUN-eszközön készített rögzítés nem kap Ethernet-fejlécet csak azért, mert kérte. Ha mégis címkék jelennek meg egy TUN-rögzítésen, szinte biztosan másik interfészt vagy olyan alagutat olvas, amely kereteket hordoz a hasznos terhelésén belül. Jegyezze fel, melyik esetben van, mielőtt továbblép.
Másodszor: helyezze az érzékelőt oda, ahol az objektum még létezik
Három pozíció lefedi a legtöbb útvonalválasztott tervet: a fióktelep Ethernet-szegmense, az alagút végpontjai közötti külső hálózat és az alagút feldolgozása utáni útvonal. Mindegyik más objektumot lát, és a címke csak az elsőben létezik. Az érzékelő pozíciójának kiválasztása arról szóló döntés, melyik objektumra van szüksége a szabályzatnak, nem kényelmi kérdés.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Tegye fel a szabályzat kérdését olyan formában, amelyre a táblázat válaszolni tud, és általában magától megoldódik. Ha a szabálynak tudnia kell, melyik fióktelepről érkezett egy csomag, az alsóbb prefixleképezés elegendő lehet, de csak addig, amíg az a leképezés pontos és egyértelmű. Ha a szabálynak tudnia kell, melyik porton érkezett a keret, az első pozícióra van szüksége, mert semmi az alsóbb szinteken nem tudja újraépíteni. A szokásból, nem kérdésből elhelyezett érzékelők miatt kezdenek a csapatok olyan mezőt követelni, amelyet a terv soha nem hordozott.
Az Ethernetet szállító alagút más terv, és saját ellenőrzést igényel arról, mit őriznek meg vagy írnak át a végpontok. A TAP önmagában történő kiválasztása még mindig nem határozza meg a hidat, a VLAN-fogadási szabályokat vagy az ellenőrzési szabályzatot.
Harmadszor: érdemelje ki a forráskontextust, ahelyett hogy megbízna benne
Fióktelepenként egy címek tartománya a VLAN-identitás szokásos helyettesítője, és csak addig érvényes, amíg a leképezés egy-az-egyhez marad. Az átfedő prefixek, a fordítás és a közös átjáró mind-mind megtöri ezt a feltevést olyan módon, amely adatminőségi problémának látszik, nem tervhibának. Írja le a leképezést a határaival együtt, és mondja meg, mi történik egy két sorral egyező csomaggal. A két fióktelepen megjelenő prefixnek olyan hibának kell lennie, amelyet felismer, nem olyan érmefeldobásnak, amelyet elfogad.
Az ügyfél által szolgáltatott kontextus nem a tagság bizonyítéka. Ez egy állítás, és a helye egy másik oszlopban van.
Ahol a megkülönböztetés számít, használjon Ön által ellenőrzött társítási adatokat: melyik alagútpéldány fogadta el a kapcsolatot, melyik interfészen érkeztek a csomagok, mit mond a helyi útválasztási táblázat arról a partnerről. Az ügyfél által adott címke hasznos nyom, és haszontalan engedélyezési bemenet. Ha az érzékelő a saját oldaláról nem tudja megállapítani a társítást, a szabályzatnak szélesebb szabályra van szüksége, nem magabiztos találgatásra.
Negyedszer: erősítse meg a válaszútvonalat és azt, amit a visszafejtés kihagy
Az egyetlen irányt látó érzékelő még mindig egészségesnek tűnhet, mert a kérések ütemesen érkeznek. Ellenőrizze a válaszútvonalat kifejezetten, és ugyanarra a folyamra ellenőrizze, nem általános elérhetőségre. A félduplex láthatóság csendes réssé válik minden állapotalapú következtetésben, amelyet belőle levon.
A belső IP-forgalom helyreállítása sem ugyanaz, mint a benne lévő alkalmazás látása, mert az alagúton szállított TLS TLS marad.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Ez a két parancs megválaszolja az interfész kérdését, és megmutatja, mit tartalmaz valójában a rögzítés, ami gyorsabb, mint az architektúráról vitatkozni. Helyettesítse be a terve által használt interfésznevet, és futtassa a rögzítést, miközben az Önt érdeklő folyam aktív. Amikor nem jelenik meg címke egy TUN-eszközön, a megállapítás az, hogy a terv útvonalválasztott hidazás helyett, nem az, hogy az érzékelő adatot vesztett. Utána vagy mozgassa az érzékelőt olyan pozícióba, amely látja a címkét, vagy írja át a szabályt olyan kifejezésekkel, amelyeket a jelenlegi pozíció támogatni tud.