რატომ ვერ ხედავს თქვენი VPN სენსორი ფილიალის VLAN ტეგს
მარშრუტიზებული გვირაბი აღადგენს პაკეტებს და არა იმ კადრებს, რომლებმაც ისინი გადაიტანეს. ოთხი შემოწმება ინტერფეისის ტიპზე, სენსორის მდებარეობაზე, წყაროს კონტექსტსა და პასუხის გზაზე.
VPN-ის მხარეს სენსორი ხედავს ორ ფილიალურ VLAN-ს როგორც ჩვეულებრივ IP ტრაფიკს, და ტეგი, რომელიც თითოეულ ფილიალს საკუთარ მავთულზე იდენტიფიცირებდა, გაქრა. ეს არის ის, რასაც მარშრუტიზებული გვირაბი აკეთებს: აღადგენს პაკეტებს და არა Ethernet კადრებს, რომლებმაც ისინი მიიტანეს. აქვს თუ არა დაკარგულ ტეგს მნიშვნელობა, მთლიანად დამოკიდებულია იმ კითხვაზე, რომელსაც სენსორს უსვამთ. შეასრულეთ ქვემოთ მოცემული ოთხი შემოწმება თანმიმდევრობით და გაიგებთ, რომელი დაკვირვების წერტილი შეძლებს მასზე პასუხის გაცემას.
პირველი: დაადგინეთ, რას აღადგენს თქვენი გვირაბი
TUN ინტერფეისი გადააქვს IP პაკეტებს, ამიტომ ფილიალის კადრის VLAN სათაური ჩერდება იმ მარშრუტიზატორზე, რომელმაც ტრაფიკი გვირაბში ჩასვა. TAP ინტერფეისი გადააქვს Ethernet კადრებს, რაც ნიშნავს, რომ ტეგები შეიძლება გადარჩეს, როცა ხიდი და VLAN-ის მიღების წესები მათ გატარებას უშვებენ. წაიკითხეთ ინტერფეისის ტიპი, სანამ იმსჯელებთ, რა უნდა შეიცავდეს ჩანაწერი.
არცერთი არჩევანი არ არის ნაკლი. ორი დიზაინი სხვადასხვა კითხვას პასუხობს და ტეგს სხვადასხვა ადგილას ტოვებს.
დაადასტურეთ ინტერფეისი თავად, ნაცვლად პროდუქტის სახელიდან დასკვნის გამოტანისა. კავშირის დეტალები ასახელებს მოწყობილობის ტიპს და აჩვენებს მოქმედ დროშებს, ხოლო TUN მოწყობილობაზე გადაღებული ჩანაწერი Ethernet სათაურს არ მიიღებს მხოლოდ იმიტომ, რომ თქვენ მოითხოვეთ. თუ TUN ჩანაწერში მაინც გამოჩნდება ტეგები, თქვენ თითქმის დარწმუნებით კითხულობთ სხვა ინტერფეისს ან გვირაბს, რომელიც კადრებს თავის სასარგებლო დატვირთვაში გადააქვს. გაგრძელებამდე აღნიშნეთ, რომელ შემთხვევაში ხართ.
მეორე: მოათავსეთ სენსორი იქ, სადაც ობიექტი ჯერ კიდევ არსებობს
სამი პოზიცია ფარავს მარშრუტიზებული დიზაინების უმეტესობას: ფილიალის Ethernet სეგმენტი, გარე ქსელი გვირაბის ბოლოებს შორის და გზა გვირაბის დამუშავების შემდეგ. თითოეული სხვა ობიექტს ხედავს, და ტეგი მხოლოდ პირველში არსებობს. სენსორის პოზიციის არჩევა გადაწყვეტილებაა იმაზე, თუ რომელი ობიექტი სჭირდება პოლიტიკას და არა კომფორტის საკითხი.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
ჩამოაყალიბეთ პოლიტიკის კითხვა ისე, რომ ცხრილმა შეძლოს მასზე პასუხის გაცემა, და ის ჩვეულებრივ თავისით გვარდება. თუ წესმა უნდა იცოდეს, რომელი ფილიალიდან მოვიდა პაკეტი, ქვედა დონის პრეფიქსების დაბმა შეიძლება საკმარისი იყოს, მაგრამ მხოლოდ მანამ, სანამ ეს დაბმა ზუსტი და ცალსახაა. თუ წესმა უნდა იცოდეს, რომელ პორტზე ჩამოვიდა კადრი, საჭიროა პირველი პოზიცია, რადგან ქვედა დონეზე ვერაფერი აღადგენს მას. ჩვევით და არა კითხვით განთავსებული სენსორები არის ის, რის გამოც გუნდები საბოლოოდ ითხოვენ ველს, რომელიც დიზაინს არასდროს უტარებია.
გვირაბი, რომელიც Ethernet-ს გადააქვს, სხვა დიზაინია და საჭიროებს საკუთარ შემოწმებას იმაზე, რასაც ბოლოები ინახავენ ან გადაწერენ. მხოლოდ TAP-ის არჩევა ჯერ კიდევ არ განსაზღვრავს ხიდს, VLAN-ის მიღების წესებს ან შემოწმების პოლიტიკას.
მესამე: მოიპოვეთ წყაროს კონტექსტი და არა ენდეთ მას
თითო ფილიალზე ერთი მისამართების დიაპაზონი VLAN იდენტობის ჩვეულებრივი შემცვლელია და მოქმედებს მხოლოდ მანამ, სანამ დაბმა ერთიდან ერთზე რჩება. გადამფარავი პრეფიქსები, ტრანსლაცია და საერთო კარიბჭე თითოეული არღვევს ამ ვარაუდს ისე, რომ ეს მონაცემთა ხარისხის პრობლემას ჰგავს და არა დიზაინისას. ჩამოწერეთ დაბმა მისი საზღვრებით და თქვით, რა ხდება იმ პაკეტს, რომელიც ორ სტრიქონს ემთხვევა. ორ ფილიალში გამოჩენილი პრეფიქსი უნდა იყოს შენ მიერ აღმოჩენილი შეცდომა და არა შენ მიერ მიღებული მონეტის გადაგდება.
კლიენტის მიერ მოწოდებული კონტექსტი წევრობის მტკიცებულება არ არის. ეს არის მტკიცება და მისი ადგილი სხვა სვეტშია.
სადაც განსხვავებას მნიშვნელობა აქვს, გამოიყენეთ თქვენ მიერ კონტროლირებადი კავშირის მონაცემები: რომელმა გვირაბის ეგზემპლარმა მიიღო კავშირი, რომელ ინტერფეისზე ჩამოვიდა პაკეტები, რას ამბობს ლოკალური მარშრუტების ცხრილი ამ პარტნიორზე. კლიენტის მიერ მოწოდებული იარლიყი სასარგებლო მინიშნებაა და უსარგებლო ავტორიზაციის შეყვანა. თუ სენსორი ვერ ახერხებს კავშირის დადგენას საკუთარი მხრიდან, პოლიტიკას სჭირდება უფრო ფართო წესი და არა თავდაჯერებული ვარაუდი.
მეოთხე: დაადასტურეთ პასუხის გზა და რას ტოვებს გამოტოვებულად გაშიფვრა
მხოლოდ ერთი მიმართულების მხედველი სენსორი შეიძლება მაინც ჯანმრთელად გამოიყურებოდეს, რადგან მოთხოვნები გრაფიკის მიხედვით მოდის. შეამოწმეთ პასუხის გზა ცალსახად და შეამოწმეთ იგი იმავე დინებისთვის და არა ზოგადი ხელმისაწვდომობისთვის. ნახევრად ორმხრივი ხილვადობა ხდება ჩუმი ხარვეზი ყველა მდგომარეობაზე დაფუძნებულ დასკვნაში, რომელსაც მისგან აკეთებთ.
შიდა IP ტრაფიკის აღდგენა ასევე არ არის იგივე, რაც მის შიგნით არსებული აპლიკაციის დანახვა, რადგან გვირაბზე გადატანილი TLS რჩება TLS-ად.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5ეს ორი ბრძანება პასუხობს ინტერფეისის კითხვას და აჩვენებს, რას შეიცავს ჩანაწერი სინამდვილეში, რაც უფრო სწრაფია, ვიდრე არქიტექტურაზე კამათი. შეცვალეთ ინტერფეისის სახელი, რომელსაც თქვენი დიზაინი იყენებს, და გაუშვით ჩანაწერი, სანამ თქვენთვის საინტერესო დინება აქტიურია. როცა TUN მოწყობილობაზე ტეგი არ ჩნდება, დასკვნა ის არის, რომ დიზაინმა მარშრუტიზაცია გააკეთა და არა ხიდი, და არა ის, რომ სენსორმა მონაცემები დაკარგა. შემდეგ ან გადაიტანეთ სენსორი პოზიციაზე, რომელსაც ტეგის დანახვა შეუძლია, ან გადაწერეთ წესი ისეთი ტერმინებით, რომლებსაც მიმდინარე პოზიცია უჭერს მხარს.