რატომ არასდროს აჩვენებს მარშრუტიზებული VPN-ის აღება ფილიალის VLAN ტეგს
მარშრუტიზებული TUN გვირაბი IP პაკეტებს გადაიტანს და არა ტეგიან Ethernet კადრებს, ამიტომ VLAN ID სენსორამდე ვერასდროს აღწევს. აირჩიეთ დაკვირვების ის წერტილი, რომელიც თქვენს პოლიტიკას სჭირდება.
გვირაბის ინტერფეისზე აღებული ჩანაწერები ფილიალის VLAN ID-ს არასდროს აჩვენებს და ეს დიზაინის თვისებაა და არა ხელსაწყოს ხარვეზი. მარშრუტიზებული TUN გვირაბი IP პაკეტებს გადაიტანს, ამიტომ ტეგიანი Ethernet კადრი, რომელიც მათ ფილიალის ხაზზე გადაჰქონდა, იმ მარშრუტიზატორზე მთავრდება, რომელმაც ისინი დაამარშრუტა. თუ თქვენი პოლიტიკის კითხვა სეგმენტებს ეხება, სენსორის პოზიცია ამ კითხვისთვის უნდა შეირჩეს აღების დაწყებამდე. VLAN ველი, რომელსაც ელოდებოდით, უნდა შეიცვალოს კონტექსტით, რომლის დაცვაც შეგიძლიათ.
ნახეთ, რას გადაიტანს სინამდვილეში გვირაბის ინტერფეისი
TUN IP პაკეტებს აწვდის ჰოსტს; TAP Ethernet კადრებს აწვდის. მარშრუტიზებული დიზაინი პირველს იყენებს, რაც ნიშნავს, რომ გაშიფვრის შემდეგ მოსულ პაკეტს ბმული შრის თავსახური საერთოდ არ აქვს და შესაბამისად არც 802.1Q ტეგი წასაკითხად. გზაზე არაფერი მოხსნილა, რადგან ტეგი გვირაბში არასდროს შესულა. შიდა პაკეტი თავისი IP თავსახურიდან იწყება, ამიტომ ყველა ველი, რომელსაც VLAN-ის მცოდნე წესი ელის, უბრალოდ არ არსებობს.
სანამ აღებაზე კამათს დაიწყებთ, დაადასტურეთ ინტერფეისის ტიპი, რადგან იმავე განთავსების TAP მოწყობილობა სხვაგვარად იქცევა და არასწორ დასკვნამდე მიგიყვანთ.
ip -d link show tun0 tcpdump -i tun0 -nn -e -c 20
პირველი ბრძანება ბეჭდავს მოწყობილობის ტიპს და მის ფლაგებს. მეორე ბეჭდავს ბმული შრის თავსახურებს პირველი ოცი პაკეტისთვის, ხოლო TUN მოწყობილობაზე გამონატანი IP-დან იწყება Ethernet ბლოკის გარეშე, რაც მთელი ახსნაა ერთ ეკრანზე.
TAP-ის არჩევა ტეგსაც არ აღადგენს. TAP მოწყობილობა კადრებს ხიდს გადასცემს და რა მოუვა ტეგს, დამოკიდებულია ხიდის VLAN ფილტრაციასა და პორტის კონფიგურირებულ წევრობაზე. ეს ცალკე დიზაინის გადაწყვეტილებაა საკუთარი წარუმატებლობის რეჟიმებით.
დადექით სამი ადგილიდან ერთ-ერთზე და მიიღეთ ის, რისი დანახვაც მას შეუძლია
ფილიალის Ethernet სეგმენტზე ტეგი არსებობს, მაგრამ სენსორი მხოლოდ ამ სეგმენტის ლოკალურ ტრაფიკს ხედავს. გარე VPN ქსელში ტრაფიკი დაცულია, ამიტომ დამკვირვებელი იგებს ბოლო წერტილებსა და მოცულობას და არაფერს შიდა პაკეტზე. გაშიფვრის შემდეგ TUN გზაზე შიდა IP პაკეტი ხელმისაწვდომია, მისი მისამართებითა და პორტებით და ფილიალის კადრის გარეშე. ამიტომ ერთი და იმავე ნაკადის trunk-ზე აღება და მარშრუტიზებული აღება ორ სხვადასხვა საუბრად გამოიყურება.
ეს სამი პოზიცია სამ სხვადასხვა კითხვას პასუხობს და ერთი აღება სამივე ერთდროულად ვერ იქნება.
tcpdump -i eth0 -nn -e 'vlan' -c 10 tcpdump -i tun0 -nn -c 10
გაუშვით წყვილი და შეადარეთ. პირველი აჩვენებს ტეგიან კადრებს და მათ VLAN ID-ებს იქ, სადაც ფილიალის ხაზი ჰოსტისკენ trunk-ია; მეორე იგივე საუბარს მარშრუტიზაციის შემდეგ ჩვეულებრივ IP-დ აჩვენებს. თუ პირველი საერთოდ არაფერს აბრუნებს, შეამოწმეთ, ჰოსტის პორტი შესვლის პორტია თუ არა, რადგან მაშინ ტეგი უკვე კომუტატორმა მოაცილა და ჰოსტზე ვერც ერთი აღება ვერასდროს აჩვენებს.
შეცვალეთ დაკარგული ტეგი რუკით, რომლის დაცვაც შეგიძლიათ
თუ პოლიტიკა სეგმენტებს IP პრეფიქსით არჩევს, ჩაწერეთ ეს რუკა მისი საზღვრებითურთ. გადამკვეთი მისამართების დიაპაზონები, წყაროს თარგმანი და საერთო კარიბჭე თითოეულმა შეიძლება ერთი პრეფიქსი არასაკმარისად აქციოს იმის დასადგენად, საიდან მოვიდა პაკეტი სინამდვილეში.
ენდეთ თქვენს მიერ კონტროლირებულ ინტერფეისსა და მარშრუტიზაციის კონტექსტს და არა კლიენტის მიერ მოწოდებულ იარლიყს. თავსახურის ველი, რომლის დაყენებაც პარტნიორს შეუძლია, წევრობის მტკიცებულება არ არის და წესი, რომელიც მას ასე განიხილავს, ადვილად ასარიდებელია.
ip route get 10.20.30.40 ip -br addr show
პირველი ბრძანება იტყობინება ინტერფეისსა და წყაროს, რომელსაც ბირთვი დანიშნულებისთვის გამოიყენებდა, რაც სეგმენტზე მიმაგრების ლოკალური ხედია. მეორე ჩამოთვლის მისამართებს ინტერფეისების მიხედვით, რათა თქვენი რუკის პრეფიქსები დიაგრამასთან და არა რეალობასთან შემოწმდეს.
შედეგის ნდობამდე შეამოწმეთ დაბრუნების გზა და დატვირთვა
მხოლოდ ერთი მიმართულების მხედველი შემოწმების წერტილი საუბრის ნახევარს გამოტოვებს და ასიმეტრიული მარშრუტიზაცია ჩვეულებრივია, როცა VPN ერთვება. დაადასტურეთ, რომ პასუხები იმავე სენსორზე გადის, სანამ ცალმხრივ აღებას სრულად ჩათვლით.
შიდა IP პაკეტის აღდგენა ასევე არ გაშიფრავს მის შიგნით არსებულ HTTPS სესიას. თუ პოლიტიკის კითხვა შინაარსს და არა ნაკადებს ეხება, სენსორის პოზიცია კვლავ უნდა გადაინაცვლოს და ეს გადაწყვეტილება იმავე დიზაინის დოკუმენტს ეკუთვნის.
შეუზღუდავი trunk-ის სენსორამდე გაგრძელება მხოლოდ VLAN ველის გამოსაჩენად ზრდის ქსელის საზღვარს თავდაპირველ კითხვაზე პასუხის გაცემის გარეშე. აირჩიეთ პოზიცია პოლიტიკისთვის საჭირო ინფორმაციისთვის, ჩაწერეთ რისი დანახვაც არ შეუძლია და გადახედეთ არჩევანს, როცა კითხვა შეიცვლება.