Ինչու երթուղավորված VPN-ի որսը երբեք չի ցույց տալիս ճյուղի VLAN պիտակը

Թունելի ինտերֆեյսի վրա արված որսերը երբեք չեն ցույց տա ճյուղի VLAN նույնացուցիչը, և սա նախագծման հատկություն է, ոչ թե գործիքի բացթողում։ Երթուղավորված TUN թունելը տեղափոխում է IP փաթեթներ, ուստի պիտակավորված Ethernet կադրը, որը դրանք տեղափոխում էր ճյուղի կապով, ավարտվում է այն երթուղիչի մոտ, որը երթուղավորել է դրանք։ Եթե ձեր քաղաքականության հարցը վերաբերում է սեգմենտներին, ապա սենսորի դիրքը պետք է ընտրվի այդ հարցի համար նախքան որսի մեկնարկը։ Այն VLAN դաշտը, որին սպասում էիք, պետք է փոխարինվի այնպիսի համատեքստով, որը կարող եք պաշտպանել։

Նայեք, թե ինչ է իրականում տեղափոխում թունելի ինտերֆեյսը

TUN-ը IP փաթեթները հասցնում է հոսթին, TAP-ը՝ Ethernet կադրերը։ Երթուղավորված նախագիծը օգտագործում է առաջինը, ինչը նշանակում է, որ ապակոդավորումից հետո ժամանող փաթեթն ընդհանրապես կապող շերտի վերնագիր չունի, հետևաբար նաև 802.1Q պիտակ չունի կարդալու համար։ Ճանապարհին ոչինչ չի հեռացվել, որովհետև պիտակը երբեք չի մտել թունել։ Ներքին փաթեթը սկսվում է իր IP վերնագրից, ուստի յուրաքանչյուր դաշտ, որն ակնկալում է VLAN-ին տեղյակ կանոնը, պարզապես բացակայում է։

Հաստատեք ինտերֆեյսի տեսակը նախքան որսի մասին վիճելը, քանի որ նույն տեղաբաշխման TAP սարքն այլ կերպ կվարվի և կհանգեցնի սխալ եզրակացության։

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Առաջին հրամանը տպում է սարքի տեսակը և դրա դրոշները։ Երկրորդը տպում է կապող շերտի վերնագրերը առաջին քսան փաթեթների համար, և TUN սարքի վրա արտածումը սկսվում է IP-ից առանց Ethernet բլոկի, ինչը ողջ բացատրությունն է մեկ էկրանով։

TAP-ի ընտրությունը նույնպես չի վերականգնում պիտակը։ TAP սարքը կադրերը փոխանցում է կամրջին, և թե ինչ է պատահում պիտակին, կախված է կամրջի VLAN զտումից և պորտի կարգավորված անդամակցությունից։ Սա առանձին նախագծային որոշում է՝ իր ձախողման եղանակներով։

Կանգնեք երեք տեղերից մեկում և ընդունեք, թե ինչ կարող է տեսնել

Ճյուղի Ethernet սեգմենտում պիտակը առկա է, բայց սենսորը տեսնում է միայն այդ սեգմենտի տեղական երթևեկությունը։ Արտաքին VPN ցանցում երթևեկությունը պաշտպանված է, ուստի դիտորդը սովորում է վերջնակետերն ու ծավալը և ոչինչ ներքին փաթեթի մասին։ Ապակոդավորումից հետո TUN ուղու վրա ներքին IP փաթեթը հասանելի է՝ իր հասցեավորմամբ և պորտերով, և առանց ճյուղի կադրի։ Ուստի նույն հոսքի վրա trunk-ով որսը և երթուղավորված որսը նման են երկու տարբեր զրույցների։

Այդ երեք դիրքերը պատասխանում են երեք տարբեր հարցերի, և մեկ որսը չի կարող միաժամանակ լինել բոլորը։

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Գործարկեք զույգը և համեմատեք։ Առաջինը ցույց է տալիս պիտակավորված կադրերը և դրանց VLAN նույնացուցիչները այնտեղ, որտեղ ճյուղի կապը trunk է դեպի հոսթը, երկրորդը ցույց է տալիս նույն զրույցը որպես սովորական IP երթուղավորումից հետո։ Եթե առաջինը ընդհանրապես ոչինչ չվերադարձնի, ստուգեք՝ արդյոք հոսթի պորտը մուտքի պորտ է, որովհետև այդ դեպքում պիտակն արդեն հեռացրել է կոմուտատորը, և հոսթի վրա ոչ մի որս այն երբեք չի ցույց տա։

Փոխարինեք բացակայող պիտակը մի քարտեզով, որը կարող եք պաշտպանել

Եթե քաղաքականությունը սեգմենտները տարբերում է IP նախածանցով, գրի առեք այդ քարտեզը իր սահմանների հետ միասին։ Համընկնող հասցեների տիրույթները, աղբյուրի թարգմանությունը և ընդհանուր դարպասը յուրաքանչյուրը կարող են մեկ նախածանցը դարձնել անբավարար՝ պարզելու, թե փաթեթն իրականում որտեղից է եկել։

Վստահեք ձեր վերահսկողության տակ գտնվող ինտերֆեյսին և երթուղավորման համատեքստին, ոչ թե այն պիտակին, որը տրամադրում է հաճախորդը։ Այն վերնագրի դաշտը, որը զուգընկերը կարող է սահմանել, անդամակցության ապացույց չէ, և այն ստուգման կանոնը, որը դրան այդպես է վերաբերվում, հեշտությամբ շրջանցվում է։

ip route get 10.20.30.40
ip -br addr show

Առաջին հրամանը հայտնում է ինտերֆեյսը և աղբյուրը, որը միջուկը կօգտագործեր նպատակակետի համար, ինչը սեգմենտին կցվելու տեղական պատկերն է։ Երկրորդը թվարկում է հասցեները յուրաքանչյուր ինտերֆեյսի համար, որպեսզի ձեր քարտեզի նախածանցերը ստուգվեն իրականության, այլ ոչ թե գծապատկերի հետ։

Ստուգեք վերադարձի ուղին և բեռը նախքան արդյունքին վստահելը

Միայն մեկ ուղղություն տեսնող ստուգման կետը բաց կթողնի զրույցի կեսը, և ասիմետրիկ երթուղավորումը սովորական է հենց VPN-ը ներգրավվում է։ Հաստատեք, որ պատասխաններն անցնում են նույն սենսորով նախքան միակողմանի որսը ամբողջական համարելը։

Ներքին IP փաթեթի վերականգնումը նույնպես չի ապակոդավորում դրա ներսում գտնվող HTTPS սեսիան։ Եթե քաղաքականության հարցը վերաբերում է բովանդակությանը, այլ ոչ հոսքերին, սենսորի դիրքը պետք է կրկին տեղափոխվի, և այդ որոշումը պատկանում է նույն նախագծային փաստաթղթին։

Անսահմանափակ trunk-ը սենսոր հասցնելը միայն VLAN դաշտը տեսանելի դարձնելու համար մեծացնում է ցանցի սահմանը՝ չպատասխանելով սկզբնական հարցին։ Ընտրեք դիրքը քաղաքականությանը անհրաժեշտ տեղեկատվության համար, գրանցեք, թե ինչ այն չի կարող տեսնել, և վերանայեք ընտրությունը, երբ հարցը փոխվի։