ルーテッドVPNのキャプチャにブランチのVLANタグが決して現れない理由

トンネルインターフェースで取得したキャプチャにブランチのVLAN IDが現れることはなく、これはツールの欠陥ではなく設計上の性質です。ルーテッドTUNトンネルはIPパケットを運ぶため、ブランチリンク上でそれらを運んだタグ付きEthernetフレームは、それらをルーティングしたルーターで終わります。ポリシーの問いがセグメントに関するものであれば、キャプチャを開始する前にその問いに合わせてセンサーの位置を選ぶ必要があります。期待していたVLANフィールドは、説明できる文脈で置き換えなければなりません。

トンネルインターフェースが実際に何を運ぶかを見る

TUNはIPパケットをホストに渡し、TAPはEthernetフレームを渡します。ルーテッド設計は前者を使うため、復号後に到着するパケットにはリンク層ヘッダーがまったくなく、したがって読むべき802.1Qタグもありません。途中で何かが取り除かれたのではなく、タグがトンネルに入ること自体がなかったのです。内側のパケットはIPヘッダーから始まるため、VLANを意識したルールが期待するフィールドは単に存在しません。

キャプチャについて論じる前にインターフェースの種類を確認してください、同じ配備内のTAPデバイスは異なる動作をし、誤った結論へ導きます。

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

最初のコマンドはデバイスの種類とそのフラグを出力します。二番目は最初の二十パケットのリンク層ヘッダーを出力し、TUNデバイスでは出力がEthernetブロックなしのIPから始まり、これが一画面での説明のすべてです。

TAPを選んでもタグは復元されません。TAPデバイスはフレームをブリッジに渡し、タグがどうなるかはブリッジのVLANフィルタリングとポートの設定済みメンバーシップによります。これは独自の障害モードを持つ別の設計判断です。

三つの場所のいずれかに立ち、それが見えるものを受け入れる

ブランチのEthernetセグメントではタグは存在しますが、センサーはそのセグメント上のローカルトラフィックしか見えません。外側のVPNネットワークでは トラフィックは保護されているため、観測者は端点と量を学び、内側のパケットについては何も分かりません。復号後のTUN経路では、内側のIPパケットがアドレス指定とポートとともに利用でき、ブランチのフレームはありません。したがって同じフローのトランク上のキャプチャとルーテッドキャプチャは、二つの異なる会話のように見えます。

その三つの位置は三つの異なる問いに答えるものであり、一つのキャプチャが同時にすべてになることはできません。

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

ペアを実行して比較してください。一つ目はブランチリンクがホストにトランクされている場所でタグ付きフレームとそのVLAN IDを示し、二つ目は同じ会話をルーティング後の素のIPとして示します。一つ目が何も返さない場合は、ホストポートがアクセスポートかどうかを確認してください、その場合タグはすでにスイッチで除去されており、ホスト上のどのキャプチャにも現れません。

欠けているタグを説明できるマッピングで置き換える

ポリシーがセグメントをIPプレフィックスで区別するなら、そのマッピングを限界とともに書き留めてください。アドレス範囲の重複、送信元変換、共有ゲートウェイのいずれもが、一つのプレフィックスだけではパケットが実際にどこから来たかを特定できなくします。

自分が制御するインターフェースとルーティングの文脈を信頼し、クライアントが提供するラベルを信頼しないでください。ピアが設定できるヘッダーフィールドはメンバーシップの証拠ではなく、それをそう扱う検査ルールは簡単に回避されます。

ip route get 10.20.30.40
ip -br addr show

最初のコマンドは、カーネルが宛先に対して使うインターフェースと送信元をセグメントへの接続のローカルな見方として報告します。二番目はインターフェースごとにアドレスを一覧するので、マッピング内のプレフィックスを図ではなく現実と照合できます。

結果を信頼する前に戻り経路とペイロードを確認する

一方向しか見ない検査点は会話の半分を見落とし、VPNが関与すると非対称ルーティングはよくあります。片側だけのキャプチャを完全とみなす前に、応答が同じセンサーを通ることを確認してください。

内側のIPパケットを復元しても、その中のHTTPSセッションが復号されるわけではありません。ポリシーの問いがフローではなく内容に関するものであれば、センサーの位置を再び動かす必要があり、その判断は同じ設計文書に属します。

VLANフィールドを出現させるためだけに無制限のトランクをセンサーまで延ばすことは、元の問いに答えないままネットワーク境界を広げます。ポリシーが必要とする情報のために位置を選び、見えないものを記録し、問いが変わったら選択を見直してください。