Ինչու ձեր VPN սենսորը երբեք չի տեսնում մասնաճյուղի VLAN պիտակը
Երթուղավորված թունելը վերականգնում է փաթեթները, ոչ այն շրջանակները, որոնք դրանք տեղափոխել են։ Չորս ստուգում ինտերֆեյսի տեսակի, սենսորի դիրքի, աղբյուրի համատեքստի և պատասխանի ուղու վերաբերյալ։
VPN կողմի սենսորը երկու մասնաճյուղային VLAN-ները տեսնում է որպես սովորական IP երթևեկություն, և պիտակը, որը յուրաքանչյուր մասնաճյուղ նույնականացնում էր իր սեփական լարում, անհետացել է։ Ահա թե ինչ է անում երթուղավորված թունելը՝ վերականգնում է փաթեթները, ոչ այն Ethernet շրջանակները, որոնք դրանք հասցրել են։ Թե արդյոք բացակայող պիտակը նշանակություն ունի, ամբողջությամբ կախված է այն հարցից, որը դուք տալիս եք սենսորին։ Կատարեք ստորև նշված չորս ստուգումները հերթականությամբ և կիմանաք, թե որ դիտարկման կետը կարող է պատասխանել դրան։
Առաջինը՝ պարզեք, թե ինչ է վերականգնում ձեր թունելը
TUN ինտերֆեյսը տեղափոխում է IP փաթեթներ՝ ուստի մասնաճյուղի շրջանակի VLAN վերնագիրը կանգ է առնում այն երթուղիչում, որը երթևեկությունը մղել է թունելի մեջ։ TAP ինտերֆեյսը տեղափոխում է Ethernet շրջանակներ, ինչը նշանակում է, որ պիտակները կարող են պահպանվել, երբ կամուրջը և VLAN ընդունելության կանոնները թույլ են տալիս նրանց անցնել։ Կարդացեք ինտերֆեյսի տեսակը նախքան դատելը, թե ինչ պետք է պարունակի գրառումը։
Երկու ընտրություններից ոչ մեկը թերություն չէ։ Երկու նախագծերը պատասխանում են տարբեր հարցերի և պիտակը թողնում են տարբեր տեղերում։
Ինտերֆեյսը ինքներդ հաստատեք՝ փոխարենը այն արտադրանքի անունից ենթադրելու։ Կապի մանրամասները նշում են սարքի տեսակը և ցույց տալիս գործող դրոշները, և TUN սարքի վրա արված գրառումը Ethernet վերնագիր չի ստանա միայն այն պատճառով, որ դուք դա խնդրել եք։ Եթե TUN գրառման մեջ այնուամենայնիվ պիտակներ հայտնվեն, դուք գրեթե վստահաբար կարդում եք մեկ այլ ինտերֆեյս կամ թունել, որը շրջանակներ է տեղափոխում իր օգտակար բեռի ներսում։ Շարունակելուց առաջ նշեք, թե որ դեպքում եք գտնվում։
Երկրորդը՝ տեղադրեք սենսորը այնտեղ, որտեղ օբյեկտը դեռ գոյություն ունի
Երեք դիրք ընդգրկում են երթուղավորված նախագծերի մեծ մասը՝ մասնաճյուղի Ethernet հատվածը, թունելի ծայրերի միջև արտաքին ցանցը և թունելի մշակումից հետո ընկած ուղին։ Յուրաքանչյուրը տեսնում է տարբեր օբյեկտ, և պիտակը գոյություն ունի միայն առաջինում։ Սենսորի դիրք ընտրելը որոշում է այն մասին, թե որ օբյեկտն է պետք քաղաքականությանը, ոչ թե հարմարավետության հարց։
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Ձևակերպեք քաղաքականության հարցը այնպիսի բառերով, որոնց աղյուսակը կարող է պատասխանել, և այն սովորաբար ինքնըստինքյան լուծվում է։ Եթե կանոնին պետք է իմանալ, թե որ մասնաճյուղից է եկել փաթեթը, ներքևի նախածանցների քարտեզագրումը կարող է բավարար լինել, բայց միայն այնքան ժամանակ, քանի դեռ այդ քարտեզագրումը ճշգրիտ է և միանշանակ։ Եթե կանոնին պետք է իմանալ, թե որ պորտով է ժամանել շրջանակը, ձեզ պետք է առաջին դիրքը, որովհետև ներքևում ոչինչ չի կարող վերականգնել այն։ Սովորությունից, այլ ոչ հարցից ելնելով տեղադրված սենսորներն են պատճառը, որ թիմերը վերջիվերջո պահանջում են դաշտ, որը նախագիծը երբեք չի կրել։
Ethernet տեղափոխող թունելն այլ նախագիծ է և պահանջում է իր սեփական ստուգումը, թե ինչ են ծայրերը պահպանում կամ վերագրանցում։ Միայն TAP ընտրելը դեռ չի սահմանում կամուրջը, VLAN ընդունելության կանոնները կամ ստուգման քաղաքականությունը։
Երրորդը՝ վաստակեք աղբյուրի համատեքստը՝ փոխարենը դրան վստահելու
Մեկ հասցեային տիրույթ մեկ մասնաճյուղի համար VLAN ինքնության սովորական փոխարինողն է, և այն գործում է միայն այնքան ժամանակ, քանի դեռ քարտեզագրումը մնում է մեկը մեկին։ Համընկնող նախածանցները, թարգմանությունը և ընդհանուր դարպասը յուրաքանչյուրն այդ ենթադրությունը կոտրում են այնպես, որ թվում է տվյալների որակի խնդիր, ոչ թե նախագծի։ Գրեք քարտեզագրումը իր սահմաններով և ասեք, թե ինչ է պատահում երկու տողի հետ համընկնող փաթեթին։ Երկու մասնաճյուղերում հայտնված նախածանցը պետք է լինի ձեր հայտնաբերած սխալը, ոչ թե ձեր ընդունած մետաղադրամի նետումը։
Հաճախորդի տրամադրած համատեքստը անդամակցության ապացույց չէ։ Դա պնդում է, և նրա տեղը այլ սյունակում է։
Այնտեղ, որտեղ տարբերությունը կարևոր է, օգտագործեք ձեր վերահսկողության տակ գտնվող կապակցման տվյալները՝ թե որ թունելի օրինակն է ընդունել կապը, թե որ ինտերֆեյսով են ժամանել փաթեթները, ինչ է ասում տեղական երթուղիների աղյուսակը այդ գործընկերոջ մասին։ Հաճախորդի տրամադրած պիտակը օգտակար ակնարկ է և անօգուտ լիազորման մուտք։ Եթե սենսորը չի կարող կապակցումը հաստատել իր կողմից, քաղաքականությանը պետք է ավելի լայն կանոն, ոչ թե ինքնավստահ ենթադրություն։
Չորրորդը՝ հաստատեք պատասխանի ուղին և այն, ինչ բաց է թողնում վերծանումը
Միայն մեկ ուղղություն տեսնող սենսորը դեռ կարող է առողջ թվալ, որովհետև հարցումները շարունակում են ժամանել ըստ ժամանակացույցի։ Ստուգեք պատասխանի ուղին բացահայտորեն, և ստուգեք այն նույն հոսքի համար, ոչ թե ընդհանուր հասանելիության։ Կիսակրկնակի տեսանելիությունը դառնում է լուռ բացվածք յուրաքանչյուր վիճակային եզրակացության մեջ, որը դուք անում եք դրանից։
Ներքին IP երթևեկության վերականգնումը նույնպես նույնը չէ, ինչ դրա ներսում գտնվող հավելվածը տեսնելը, որովհետև թունելով տեղափոխվող TLS-ը մնում է TLS։
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Այս երկու հրամանները պատասխանում են ինտերֆեյսի հարցին և ցույց տալիս, թե ինչ է իրականում պարունակում գրառումը, ինչն ավելի արագ է, քան ճարտարապետության շուրջ վիճելը։ Փոխարինեք այն ինտերֆեյսի անունը, որն օգտագործում է ձեր նախագիծը, և գործարկեք գրառումը, քանի դեռ ձեզ հետաքրքրող հոսքը ակտիվ է։ Երբ TUN սարքի վրա ոչ մի պիտակ չի հայտնվում, եզրակացությունն այն է, որ նախագիծը երթուղավորել է կամրջելու փոխարեն, և ոչ թե որ սենսորը կորցրել է տվյալներ։ Այնուհետև կամ տեղափոխեք սենսորը դիրք, որը կարող է տեսնել պիտակը, կամ վերաշարադրեք կանոնը այնպիսի բառերով, որոնք կարող է աջակցել ընթացիկ դիրքը։