Mengapa Sensor VPN Anda Tidak Pernah Melihat Tag VLAN Cabang

Sensor di sisi VPN melihat dua VLAN cabang sebagai lalu lintas IP biasa, dan tag yang mengidentifikasi setiap cabang di kabelnya sendiri telah hilang. Itulah yang dilakukan tunnel berute: ia memulihkan paket, bukan frame Ethernet yang mengantarkannya. Apakah tag yang hilang itu penting sepenuhnya bergantung pada pertanyaan yang Anda ajukan kepada sensor. Jalankan empat pemeriksaan di bawah ini secara berurutan dan Anda akan tahu titik pengamatan mana yang dapat menjawabnya.

Pertama: pastikan apa yang dipulihkan tunnel Anda

Antarmuka TUN membawa paket IP, sehingga header VLAN dari frame cabang berhenti di router yang mendorong lalu lintas ke dalam tunnel. Antarmuka TAP membawa frame Ethernet, yang berarti tag dapat bertahan ketika jembatan dan aturan penerimaan VLAN mengizinkannya lewat. Baca jenis antarmuka sebelum menalar apa yang seharusnya dikandung tangkapan.

Tidak ada satu pun pilihan yang merupakan cacat. Kedua desain menjawab pertanyaan berbeda dan meninggalkan tag di tempat berbeda.

Pastikan antarmuka itu sendiri alih-alih menyimpulkannya dari nama produk. Detail tautan menyebutkan jenis perangkat dan menunjukkan tanda yang berlaku, dan tangkapan yang diambil pada perangkat TUN tidak akan memperoleh header Ethernet hanya karena Anda memintanya. Jika tag tetap muncul pada tangkapan TUN, hampir pasti Anda membaca antarmuka lain atau tunnel yang membawa frame di dalam muatannya. Catat dalam kasus mana Anda berada sebelum melanjutkan.

Kedua: tempatkan sensor di mana objeknya masih ada

Tiga posisi mencakup sebagian besar desain berute: segmen Ethernet cabang, jaringan luar antara ujung tunnel, dan jalur setelah pemrosesan tunnel. Masing-masing melihat objek berbeda, dan tag hanya ada pada yang pertama. Memilih posisi sensor adalah keputusan tentang objek mana yang dibutuhkan kebijakan, bukan soal kenyamanan.

Ajukan pertanyaan kebijakan dalam istilah yang dapat dijawab tabel, dan biasanya pertanyaan itu selesai sendiri. Jika aturan perlu tahu dari cabang mana sebuah paket datang, pemetaan prefiks di hilir mungkin cukup, tetapi hanya selama pemetaan itu akurat dan tidak ambigu. Jika aturan perlu tahu di port mana frame tiba, Anda memerlukan posisi pertama, karena tidak ada yang di hilir dapat merekonstruksinya. Sensor yang ditempatkan karena kebiasaan alih-alih karena pertanyaan adalah cara tim akhirnya menuntut bidang yang tidak pernah dibawa desain.

Tunnel yang membawa Ethernet adalah desain berbeda dan memerlukan pemeriksaannya sendiri atas apa yang dipertahankan atau ditulis ulang oleh ujung-ujungnya. Memilih TAP saja tetap tidak mendefinisikan jembatan, aturan penerimaan VLAN, atau kebijakan inspeksi.

Ketiga: dapatkan konteks sumber alih-alih memercayainya

Satu rentang alamat per cabang adalah pengganti biasa untuk identitas VLAN, dan itu hanya bertahan selama pemetaannya tetap satu-ke-satu. Prefiks yang tumpang tindih, terjemahan, dan gateway bersama masing-masing mematahkan asumsi itu dengan cara yang tampak seperti masalah kualitas data, bukan masalah desain. Tuliskan pemetaan itu beserta batasnya dan katakan apa yang terjadi pada paket yang cocok dengan dua baris. Prefiks yang muncul di dua cabang seharusnya menjadi kesalahan yang Anda deteksi, bukan lemparan koin yang Anda terima.

Konteks yang disediakan klien bukan bukti keanggotaan. Itu adalah klaim, dan tempatnya di kolom lain.

Di mana perbedaannya penting, gunakan data asosiasi yang Anda kendalikan: instans tunnel mana yang menerima koneksi, antarmuka mana yang menerima paket, apa kata tabel rute lokal tentang rekan itu. Label yang diberikan klien adalah petunjuk yang berguna dan masukan otorisasi yang tidak berguna. Jika sensor tidak dapat menetapkan asosiasi dari sisinya sendiri, kebijakan memerlukan aturan yang lebih luas alih-alih dugaan yang percaya diri.

Keempat: pastikan jalur balasan dan apa yang terlewat oleh dekripsi

Sensor yang hanya melihat satu arah tetap bisa tampak sehat, karena permintaan terus datang sesuai jadwal. Periksa jalur balasan secara eksplisit, dan periksa untuk aliran yang sama, bukan untuk keterjangkauan umum. Visibilitas setengah dupleks menjadi celah senyap dalam setiap kesimpulan berbasis status yang Anda tarik darinya.

Memulihkan lalu lintas IP dalam juga tidak sama dengan melihat aplikasi di dalamnya, karena TLS yang dibawa melalui tunnel tetap TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Kedua perintah itu menjawab pertanyaan antarmuka dan menunjukkan apa yang sebenarnya dikandung tangkapan, yang lebih cepat daripada berdebat soal arsitektur. Ganti nama antarmuka yang digunakan desain Anda dan jalankan tangkapan selagi aliran yang Anda pedulikan aktif. Ketika tidak ada tag yang muncul pada perangkat TUN, temuannya adalah desain melakukan perutean alih-alih penjembatanan, bukan bahwa sensor menjatuhkan data. Lalu pindahkan sensor ke posisi yang dapat melihat tag, atau tulis ulang aturan dalam istilah yang dapat didukung posisi saat ini.