Mengapa rekaman VPN yang dirutekan tidak pernah menampilkan tag VLAN cabang

Rekaman yang diambil pada antarmuka tunnel tidak akan pernah menampilkan ID VLAN cabang, dan itu adalah sifat desain, bukan kekurangan alat. Tunnel TUN yang dirutekan membawa paket IP, sehingga frame Ethernet bertag yang membawanya di tautan cabang berakhir di router yang merutekannya. Jika pertanyaan kebijakan Anda tentang segmen, posisi sensor harus dipilih untuk pertanyaan itu sebelum rekaman dimulai. Kolom VLAN yang Anda harapkan harus diganti dengan konteks yang dapat Anda pertahankan.

Lihat apa yang sebenarnya dibawa antarmuka tunnel

TUN mengirimkan paket IP ke host; TAP mengirimkan frame Ethernet. Desain yang dirutekan menggunakan yang pertama, yang berarti paket yang tiba setelah dekripsi tidak memiliki header lapisan tautan sama sekali, dan karena itu tidak ada tag 802.1Q untuk dibaca. Tidak ada yang dilucuti dalam perjalanan, karena tag tidak pernah masuk ke tunnel. Paket dalam dimulai pada header IP-nya, sehingga setiap kolom yang diharapkan aturan yang sadar VLAN tidak ada.

Pastikan jenis antarmuka sebelum berdebat tentang rekaman, karena perangkat TAP dalam penerapan yang sama akan berperilaku berbeda dan mengarahkan pada kesimpulan yang salah.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Perintah pertama mencetak jenis perangkat dan flag-nya. Perintah kedua mencetak header lapisan tautan untuk dua puluh paket pertama, dan pada perangkat TUN keluarannya dimulai pada IP tanpa blok Ethernet, yang merupakan seluruh penjelasan dalam satu layar.

Memilih TAP juga tidak memulihkan tag. Perangkat TAP meneruskan frame ke bridge, dan apa yang terjadi pada tag bergantung pada penyaringan VLAN bridge dan keanggotaan port yang dikonfigurasi. Itu adalah keputusan desain terpisah dengan mode kegagalannya sendiri.

Berdirilah di salah satu dari tiga tempat dan terima apa yang dapat dilihatnya

Pada segmen Ethernet cabang tag ada, tetapi sensor hanya melihat lalu lintas lokal pada segmen itu. Pada jaringan VPN luar lalu lintas dilindungi, sehingga pengamat mengetahui titik akhir dan volume dan tidak tahu apa pun tentang paket dalam. Pada jalur TUN setelah dekripsi paket IP dalam tersedia, dengan pengalamatan dan portnya, dan tanpa frame cabang. Karena itu rekaman pada trunk dan rekaman yang dirutekan dari aliran yang sama tampak seperti dua percakapan berbeda.

Ketiga posisi itu menjawab tiga pertanyaan berbeda, dan satu rekaman tidak dapat menjadi semuanya sekaligus.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Jalankan pasangan itu dan bandingkan. Yang pertama menunjukkan frame bertag dan ID VLAN-nya di tempat tautan cabang di-trunk ke host; yang kedua menunjukkan percakapan yang sama sebagai IP biasa setelah perutean. Jika yang pertama tidak mengembalikan apa pun, periksa apakah port host adalah port akses, karena saat itu tag sudah dihapus oleh switch dan tidak ada rekaman di host yang akan pernah menampilkannya.

Ganti tag yang hilang dengan pemetaan yang dapat Anda pertahankan

Jika kebijakan membedakan segmen berdasarkan prefiks IP, tuliskan pemetaan itu beserta batasannya. Rentang alamat yang tumpang tindih, terjemahan sumber, dan gateway bersama masing-masing dapat membuat satu prefiks tidak cukup untuk mengidentifikasi dari mana sebuah paket benar-benar berasal.

Percayai antarmuka dan konteks perutean yang Anda kendalikan, bukan label yang diberikan klien. Kolom header yang dapat diatur oleh peer bukan bukti keanggotaan, dan aturan inspeksi yang memperlakukannya demikian mudah dilewati.

ip route get 10.20.30.40
ip -br addr show

Perintah pertama melaporkan antarmuka dan sumber yang akan digunakan kernel untuk suatu tujuan, yang merupakan pandangan lokal tentang keterikatan segmen. Perintah kedua mencantumkan alamat per antarmuka sehingga prefiks dalam pemetaan Anda dapat diperiksa terhadap kenyataan, bukan terhadap diagram.

Periksa jalur kembali dan muatan sebelum mempercayai hasilnya

Titik inspeksi yang hanya melihat satu arah akan kehilangan separuh percakapan, dan perutean asimetris umum terjadi begitu VPN terlibat. Pastikan balasan melewati sensor yang sama sebelum Anda menganggap rekaman satu sisi sudah lengkap.

Memulihkan paket IP dalam juga tidak mendekripsi sesi HTTPS di dalamnya. Jika pertanyaan kebijakan tentang konten bukan aliran, posisi sensor harus bergeser lagi, dan keputusan itu termasuk dalam dokumen desain yang sama.

Memperpanjang trunk tanpa batas ke sensor hanya agar kolom VLAN muncul memperbesar batas jaringan tanpa menjawab pertanyaan semula. Pilih posisi untuk informasi yang dibutuhkan kebijakan, catat apa yang tidak dapat dilihatnya, dan tinjau kembali pilihan itu ketika pertanyaannya berubah.