Маршрутталған VPN түсірілімінде тармақтың VLAN тегі неге ешқашан көрінбейді

Туннель интерфейсінде алынған түсірілімдер тармақтың VLAN ID-ін ешқашан көрсетпейді және бұл құралдың кемшілігі емес, дизайнның қасиеті. Маршрутталған TUN туннелі IP пакеттерін тасымалдайды, сондықтан оларды тармақ желісінде тасымалдаған тегтелген Ethernet кадры оларды маршруттаған маршрутизаторда аяқталады. Егер саясат сұрағыңыз сегменттерге қатысты болса, сенсор орнын түсірілім басталмай тұрып сол сұрақ үшін таңдау керек. Күткен VLAN өрісін өзіңіз қорғай алатын контекспен ауыстыру қажет.

Туннель интерфейсі шын мәнінде нені тасымалдайтынын қараңыз

TUN IP пакеттерін хостқа жеткізеді; TAP Ethernet кадрларын жеткізеді. Маршрутталған дизайн біріншісін пайдаланады, яғни шифрдан шыққаннан кейін келген пакетте байланыс деңгейінің тақырыбы мүлде жоқ, сондықтан оқуға арналған 802.1Q тегі де жоқ. Жолда ештеңе алынбады, өйткені тег туннельге ешқашан кірмеді. Ішкі пакет өзінің IP тақырыбынан басталады, сондықтан VLAN-ды білетін ереже күтетін әрбір өріс жай ғана жоқ.

Түсірілім туралы дауласу алдында интерфейс түрін растаңыз, өйткені сол орналастырудағы TAP құрылғысы басқаша әрекет етіп, дұрыс емес қорытындыға әкеледі.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Бірінші пәрмен құрылғы түрін және оның жалаушаларын шығарады. Екіншісі алғашқы жиырма пакеттің байланыс деңгейі тақырыптарын шығарады, ал TUN құрылғысында шығыс Ethernet блогы жоқ IP-ден басталады, бұл бір экрандағы толық түсініктеме.

TAP таңдау да тегті қалпына келтірмейді. TAP құрылғысы кадрларды көпірге жібереді, ал тегке не болатыны көпірдің VLAN сүзгілеуіне және порттың конфигурацияланған мүшелігіне байланысты. Бұл өз сәтсіздік режимдері бар жеке дизайн шешімі.

Үш орынның бірінде тұрып, ол нені көре алатынын қабылдаңыз

Тармақтың Ethernet сегментінде тег бар, бірақ сенсор тек сол сегменттегі жергілікті трафикті көреді. Сыртқы VPN желісінде трафик қорғалған, сондықтан бақылаушы шеткі нүктелер мен көлемді біледі, ішкі пакет туралы ештеңе білмейді. Шифрдан шыққаннан кейінгі TUN жолында ішкі IP пакеті оның адрестелуімен және порттарымен бірге қолжетімді, ал тармақ кадры жоқ. Сондықтан бір ағынның транктегі түсірілімі мен маршрутталған түсірілімі екі түрлі әңгіме сияқты көрінеді.

Бұл үш орын үш түрлі сұраққа жауап береді және бір түсірілім бір уақытта үшеуі де бола алмайды.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Жұпты іске қосып, салыстырыңыз. Біріншісі тармақ желісі хостқа транк болған жерде тегтелген кадрларды және олардың VLAN ID-лерін көрсетеді; екіншісі сол әңгімені маршруттаудан кейін қарапайым IP ретінде көрсетеді. Егер біріншісі ештеңе қайтармаса, хост порты кіру порты екенін тексеріңіз, өйткені онда тегті коммутатор әлдеқашан алып тастаған және хосттағы ешбір түсірілім оны ешқашан көрсетпейді.

Жоғалған тегті қорғай алатын салыстырумен ауыстырыңыз

Егер саясат сегменттерді IP префиксі бойынша ажыратса, бұл салыстыруды оның шекараларымен бірге жазыңыз. Қабаттасатын мекенжай ауқымдары, бастауышты аудару және ортақ шлюз — әрқайсысы пакеттің шын мәнінде қайдан келгенін анықтау үшін бір префиксті жеткіліксіз ете алады.

Өзіңіз бақылайтын интерфейс пен маршруттау контекстіне сеніңіз, клиент берген белгіге емес. Теңдестің орната алатын тақырып өрісі мүшеліктің дәлелі емес және оны солай қарастыратын тексеру ережесін айналып өту оңай.

ip route get 10.20.30.40
ip -br addr show

Бірінші пәрмен ядроның белгіленген орынға қолданатын интерфейсі мен көзін хабарлайды, бұл сегментке қосылудың жергілікті көрінісі. Екіншісі интерфейс бойынша мекенжайларды тізімдейді, осылайша салыстыруыңыздағы префикстер диаграммаға емес, шынайылыққа тексеріле алады.

Нәтижеге сенбес бұрын қайтару жолы мен пайдалы жүктемені тексеріңіз

Тек бір бағытты көретін тексеру нүктесі әңгіменің жартысын өткізіп алады, ал VPN қатысқан кезде асимметриялық маршруттау жиі кездеседі. Бір жақты түсірілімді толық деп санамас бұрын жауаптардың сол сенсордан өтетінін растаңыз.

Ішкі IP пакетін қалпына келтіру оның ішіндегі HTTPS сессиясын да шифрдан шығармайды. Егер саясат сұрағы ағындарға емес, мазмұнға қатысты болса, сенсор орнын қайта жылжыту керек және бұл шешім сол дизайн құжатына жатады.

VLAN өрісі көрінуі үшін ғана шектеусіз транкты сенсорға дейін ұзарту бастапқы сұраққа жауап бермей-ақ желі шекарасын үлкейтеді. Саясатқа қажет ақпарат үшін орынды таңдаңыз, ол нені көре алмайтынын жазып қойыңыз және сұрақ өзгергенде таңдауды қайта қараңыз.