VPN сенсорыңыз филиалдың VLAN тегін неге ешқашан көрмейді
Маршрутталған туннель пакеттерді қалпына келтіреді, оларды жеткізген кадрларды емес. Интерфейс түрі, сенсор орны, дереккөз контексті және жауап жолы бойынша төрт тексеру.
VPN жағындағы сенсор екі филиал VLAN-ын кәдімгі IP трафигі ретінде көреді, ал әр филиалды өз сымында анықтаған тег жоғалды. Маршрутталған туннель дәл осыны жасайды: пакеттерді қалпына келтіреді, оларды жеткізген Ethernet кадрларын емес. Жоғалған тегтің маңызы бар-жоғы сенсорға қояр сұрағыңызға толығымен байланысты. Төмендегі төрт тексеруді ретімен орындаңыз, сонда қай бақылау нүктесі оған жауап бере алатынын білесіз.
Біріншіден: туннеліңіздің нені қалпына келтіретінін анықтаңыз
TUN интерфейсі IP пакеттерін тасымалдайды, сондықтан филиал кадрының VLAN тақырыбы трафикті туннельге итерген маршрутизаторда тоқтайды. TAP интерфейсі Ethernet кадрларын тасымалдайды, бұл көпір мен VLAN қабылдау ережелері өткізсе, тегтердің сақталуы мүмкін дегенді білдіреді. Жазбада не болуы керегін ойламас бұрын интерфейс түрін оқыңыз.
Екі таңдаудың ешқайсысы ақау емес. Екі дизайн түрлі сұрақтарға жауап береді және тегті түрлі жерлерде қалдырады.
Интерфейсті өнім атауынан болжаудың орнына өзіңіз растаңыз. Қосылым мәліметтері құрылғы түрін атайды және қолданыстағы жалаушаларды көрсетеді, ал TUN құрылғысында алынған жазба тек сіз сұрағаныңыз үшін Ethernet тақырыбын ала қоймайды. Егер TUN жазбасында тегтер пайда болса, сіз дерлік сөзсіз басқа интерфейсті немесе кадрларды өз пайдалы жүктемесінің ішінде тасымалдайтын туннельді оқып отырсыз. Жалғастырмас бұрын қай жағдайда екеніңізді белгілеңіз.
Екіншіден: сенсорды нысан әлі бар жерге қойыңыз
Үш орын маршрутталған дизайндардың көбін қамтиды: филиалдың Ethernet сегменті, туннель ұштары арасындағы сыртқы желі және туннельді өңдеуден кейінгі жол. Әрқайсысы басқа нысанды көреді, ал тег тек біріншісінде бар. Сенсор орнын таңдау — саясатқа қай нысан керек екені туралы шешім, ыңғайлылық мәселесі емес.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Саясат сұрағын кесте жауап бере алатын сөздермен қойыңыз, ол әдетте өздігінен шешіледі. Егер ереже пакеттің қай филиалдан келгенін білуі керек болса, төменгі префикс сәйкестендіруі жеткілікті болуы мүмкін, бірақ сол сәйкестендіру дәл және бірмәнді болғанша ғана. Егер ереже кадрдың қай портқа келгенін білуі керек болса, сізге бірінші орын қажет, өйткені төменде ештеңе оны қайта құра алмайды. Әдеттен, сұрақтан емес қойылған сенсорлар — командалардың дизайн ешқашан көтермеген өрісті талап етуінің себебі.
Ethernet тасымалдайтын туннель — басқа дизайн және ұштардың нені сақтайтынын немесе қайта жазатынын өзінше тексеруді талап етеді. Тек TAP таңдау әлі көпірді, VLAN қабылдау ережелерін немесе тексеру саясатын анықтамайды.
Үшіншіден: дереккөз контекстіне сенудің орнына оны иемденіңіз
Әр филиалға бір мекенжай ауқымы VLAN бірегейлігінің әдеттегі орнын басушысы, ол сәйкестендіру бір-бірге тең болғанша ғана жарамды. Қабаттасқан префикстер, трансляция және ортақ шлюз — әрқайсысы бұл болжамды дизайн емес, деректер сапасы мәселесіне ұқсайтындай бұзады. Сәйкестендіруді шекараларымен бірге жазып, екі жолға сәйкес келетін пакетке не болатынын айтыңыз. Екі филиалда көрінетін префикс сіз анықтайтын қате болуы керек, сіз қабылдайтын тиын лақтыру емес.
Клиент ұсынған контекст мүшеліктің дәлелі емес. Бұл тұжырым, және оның орны басқа бағанда.
Айырмашылық маңызды жерде өзіңіз бақылайтын байланыс деректерін қолданыңыз: қай туннель данасы қосылымды қабылдады, пакеттер қай интерфейске келді, жергілікті маршрут кестесі сол серіктес туралы не дейді. Клиент ұсынған белгі пайдалы ишара және авторизация үшін пайдасыз кіріс. Егер сенсор байланысты өз жағынан орната алмаса, саясатқа өзіне сенімді болжамның орнына кеңірек ереже керек.
Төртіншіден: жауап жолын және шифрды шешудің нені өткізіп жіберетінін растаңыз
Тек бір бағытты көретін сенсор әлі де сау көрінуі мүмкін, өйткені сұраулар кесте бойынша келе береді. Жауап жолын анық тексеріңіз және оны жалпы қолжетімділік үшін емес, сол ағын үшін тексеріңіз. Жартылай қосбағытты көріну одан жасайтын күйге негізделген қорытындының әрқайсысында үнсіз олқылыққа айналады.
Ішкі IP трафигін қалпына келтіру де оның ішіндегі қолданбаны көрумен бірдей емес, өйткені туннель арқылы тасымалданатын TLS TLS күйінде қалады.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Бұл екі команда интерфейс сұрағына жауап береді және жазбада шын мәнінде не бар екенін көрсетеді, бұл архитектура туралы дауласудан жылдамырақ. Дизайныңыз қолданатын интерфейс атауын қойып, сізді қызықтыратын ағын белсенді кезде жазбаны іске қосыңыз. TUN құрылғысында ешбір тег көрінбесе, қорытынды — сенсор деректерді жоғалтқаны емес, дизайн көпір орнатқанның орнына маршруттағаны. Содан кейін сенсорды тегті көре алатын орынға жылжытыңыз немесе ережені ағымдағы орын қолдай алатын тіркестермен қайта жазыңыз.