라우티드 VPN 캡처에 지사 VLAN 태그가 절대 나타나지 않는 이유

터널 인터페이스에서 캡처한 내용에는 지사의 VLAN ID가 절대 나타나지 않으며, 이는 도구의 결함이 아니라 설계상의 특성입니다. 라우티드 TUN 터널은 IP 패킷을 운반하므로, 지사 링크에서 이를 실어 나른 태그된 Ethernet 프레임은 이를 라우팅한 라우터에서 끝납니다. 정책 질문이 세그먼트에 관한 것이라면 캡처를 시작하기 전에 그 질문에 맞춰 센서 위치를 선택해야 합니다. 기대했던 VLAN 필드는 정당화할 수 있는 맥락으로 대체해야 합니다.

터널 인터페이스가 실제로 무엇을 운반하는지 보십시오

TUN은 IP 패킷을 호스트에 전달하고 TAP은 Ethernet 프레임을 전달합니다. 라우티드 설계는 전자를 사용하므로, 복호화 후 도착하는 패킷에는 링크 계층 헤더가 전혀 없고 따라서 읽을 802.1Q 태그도 없습니다. 전송 중에 무언가가 제거된 것이 아니라 태그가 터널에 들어온 적이 없습니다. 내부 패킷은 IP 헤더에서 시작하므로 VLAN을 인식하는 규칙이 기대하는 모든 필드는 그냥 없습니다.

캡처를 논하기 전에 인터페이스 유형을 확인해야 하는데, 같은 배포의 TAP 장치는 다르게 동작하여 잘못된 결론으로 이끌기 때문입니다.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

첫 번째 명령은 장치 종류와 플래그를 출력합니다. 두 번째는 처음 스무 개 패킷의 링크 계층 헤더를 출력하며, TUN 장치에서는 출력이 Ethernet 블록 없이 IP에서 시작하는데 이것이 한 화면의 전체 설명입니다.

TAP을 선택해도 태그가 복원되지는 않습니다. TAP 장치는 프레임을 브리지로 전달하며, 태그에 무슨 일이 일어나는지는 브리지의 VLAN 필터링과 포트의 구성된 멤버십에 달려 있습니다. 이는 고유한 실패 모드를 가진 별개의 설계 결정입니다.

세 곳 중 한 곳에 서서 그것이 볼 수 있는 것을 받아들이십시오

지사의 Ethernet 세그먼트에는 태그가 있지만 센서는 그 세그먼트의 로컬 트래픽만 봅니다. 외부 VPN 네트워크에서는 트래픽이 보호되므로 관찰자는 끝점과 볼륨만 알 뿐 내부 패킷에 대해서는 아무것도 모릅니다. 복호화 후 TUN 경로에서는 내부 IP 패킷이 주소 지정과 포트와 함께 사용 가능하며 지사 프레임은 없습니다. 따라서 같은 흐름의 트렁크 캡처와 라우티드 캡처는 서로 다른 두 대화처럼 보입니다.

그 세 위치는 서로 다른 세 질문에 답하며, 하나의 캡처가 동시에 모두일 수는 없습니다.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

두 명령을 실행하여 비교하십시오. 첫 번째는 지사 링크가 호스트로 트렁크된 곳에서 태그된 프레임과 그 VLAN ID를 보여 주고, 두 번째는 라우팅 후 같은 대화를 일반 IP로 보여 줍니다. 첫 번째가 아무것도 반환하지 않으면 호스트 포트가 액세스 포트인지 확인해야 하는데, 그렇다면 스위치가 이미 태그를 제거했으므로 호스트의 어떤 캡처도 그것을 보여 주지 못합니다.

없어진 태그를 정당화할 수 있는 매핑으로 대체하십시오

정책이 세그먼트를 IP 접두사로 구분한다면 그 매핑을 한계와 함께 기록하십시오. 겹치는 주소 범위, 소스 변환, 공유 게이트웨이는 각각 하나의 접두사만으로 패킷이 실제로 어디서 왔는지 식별하기에 불충분하게 만들 수 있습니다.

통제하는 인터페이스와 라우팅 맥락을 신뢰하고 클라이언트가 제공하는 레이블은 신뢰하지 마십시오. 피어가 설정할 수 있는 헤더 필드는 멤버십의 증거가 아니며, 그렇게 취급하는 검사 규칙은 손쉽게 우회됩니다.

ip route get 10.20.30.40
ip -br addr show

첫 번째 명령은 커널이 목적지에 사용할 인터페이스와 소스를 보고하며, 이는 세그먼트 연결에 대한 로컬 관점입니다. 두 번째는 인터페이스별 주소를 나열하므로 매핑의 접두사를 다이어그램이 아니라 현실과 대조할 수 있습니다.

결과를 신뢰하기 전에 반환 경로와 페이로드를 확인하십시오

한 방향만 보는 검사 지점은 대화의 절반을 놓치며, VPN이 관련되면 비대칭 라우팅이 흔합니다. 단방향 캡처를 완전하다고 보기 전에 응답이 같은 센서를 통과하는지 확인하십시오.

내부 IP 패킷을 복구해도 그 안의 HTTPS 세션이 복호화되지는 않습니다. 정책 질문이 흐름이 아니라 내용에 관한 것이라면 센서 위치를 다시 옮겨야 하며, 그 결정은 같은 설계 문서에 속합니다.

VLAN 필드를 드러내기 위해 무제한 트렁크를 센서까지 연장하는 것은 원래 질문에 답하지 않은 채 네트워크 경계를 넓힙니다. 정책에 필요한 정보를 위해 위치를 선택하고, 볼 수 없는 것을 기록하며, 질문이 바뀌면 선택을 다시 검토하십시오.