Маршрутталган VPN кармалышында тармактын VLAN теги эмне үчүн эч качан көрүнбөйт
Маршрутталган TUN туннели IP пакеттерди ташыйт, тегделген Ethernet кадрларын эмес, ошондуктан VLAN ID сенсорго эч качан жетпейт. Саясатыңызга керектүү байкоо чекитин тандаңыз.
Туннелдин интерфейсинде алынган кармоолор тармактын VLAN IDсин эч качан көрсөтпөйт жана бул куралдын кемчилиги эмес, долбоордун касиети. Маршрутталган TUN туннели IP пакеттерди ташыйт, ошондуктан аларды тармактын байланышында ташыган тегделген Ethernet кадры аларды маршруттаган маршрутизатордо бүтөт. Эгер сиздин саясат суроосу сегменттерге тиешелүү болсо, сенсордун ордун кармоо башталганга чейин ошол суроо үчүн тандоо керек. Күткөн VLAN талаасын өзүңүз коргой алган контекст менен алмаштыруу керек.
Туннелдин интерфейси чындыгында эмнени ташыганын караңыз
TUN IP пакеттерин хостко жеткирет; TAP Ethernet кадрларын жеткирет. Маршрутталган долбоор биринчисин колдонот, башкача айтканда шифр чечилгенден кийин келген пакетте байланыш катмарынын аталышы такыр жок, ошондуктан окуу үчүн 802.1Q теги да жок. Жолдо эч нерсе алынган жок, анткени тег туннелге эч качан кирген эмес. Ички пакет өзүнүн IP аталышынан башталат, ошондуктан VLANды билген эреже күткөн ар бир талаа жөн эле жок.
Кармоо тууралуу талашуудан мурун интерфейстин түрүн ырастаңыз, анткени ошол эле жайгаштыруудагы TAP түзмөгү башкача жүрүп, туура эмес тыянакка алып келет.
ip -d link show tun0 tcpdump -i tun0 -nn -e -c 20
Биринчи буйрук түзмөктүн түрүн жана анын желектерин басып чыгарат. Экинчиси биринчи жыйырма пакеттин байланыш катмарынын аталыштарын басып чыгарат, ал эми TUN түзмөгүндө чыгарылыш Ethernet блогу жок IPден башталат, бул бир экрандагы бүт түшүндүрмө.
TAP тандоо да тегди калыбына келтирбейт. TAP түзмөгү кадрларды көпүрөгө өткөрөт, ал эми тегге эмне болорун көпүрөнүн VLAN чыпкалоосу жана порттун конфигурацияланган мүчөлүгү аныктайт. Бул өзүнүн иштен чыгуу режимдери бар өзүнчө долбоор чечими.
Үч жердин биринде туруп, ал эмнени көрө аларын кабыл алыңыз
Тармактын Ethernet сегментинде тег бар, бирок сенсор ошол сегменттеги жергиликтүү трафикти гана көрөт. Сырткы VPN тармагында трафик корголгон, ошондуктан байкоочу четки чекиттерди жана көлөмдү билет, ички пакет тууралуу эч нерсе билбейт. Шифр чечилгенден кийинки TUN жолунда ички IP пакети анын дареги жана порттору менен жеткиликтүү, ал эми тармактын кадры жок. Ошондуктан бир агымдын транктеги кармоосу менен маршрутталган кармоосу эки башка сүйлөшүү сыяктуу көрүнөт.
Бул үч орун үч башка суроого жооп берет жана бир кармоо бир эле учурда үчөө боло албайт.
tcpdump -i eth0 -nn -e 'vlan' -c 10 tcpdump -i tun0 -nn -c 10
Жупту иштетип, салыштырыңыз. Биринчиси тармактын байланышы хостко транк болгон жерде тегделген кадрларды жана алардын VLAN IDлерин көрсөтөт; экинчиси ошол эле сүйлөшүүнү маршруттагандан кийин жөнөкөй IP катары көрсөтөт. Эгер биринчиси эч нерсе кайтарбаса, хосттун порту кирүү порту экенин текшериңиз, анткени анда тегди коммутатор мурун эле алып салган жана хосттогу эч бир кармоо аны эч качан көрсөтпөйт.
Жоголгон тегди өзүңүз коргой алган карта менен алмаштырыңыз
Эгер саясат сегменттерди IP префикси боюнча айырмаласа, бул картаны анын чектери менен бирге жазыңыз. Кабатташкан дарек диапазондору, булакты которуу жана жалпы шлюз — ар бири пакеттин чындыгында кайдан келгенин аныктоо үчүн бир префиксти жетишсиз кылышы мүмкүн.
Өзүңүз көзөмөлдөгөн интерфейс менен маршруттоо контекстине ишениңиз, кардар берген белгиге эмес. Теңтуш коё алган аталыш талаасы мүчөлүктүн далили эмес жана аны ошентип караган текшерүү эрежесин айланып өтүү оңой.
ip route get 10.20.30.40 ip -br addr show
Биринчи буйрук ядронун багыт үчүн колдоно турган интерфейсин жана булагын билдирет, бул сегментке туташуунун жергиликтүү көрүнүшү. Экинчиси интерфейс боюнча даректерди тизмелейт, ошондуктан сиздин картаңыздагы префикстер диаграммага эмес, чындыкка текшерилет.
Натыйжага ишенүүдөн мурун кайтаруу жолун жана пайдалуу жүктү текшериңиз
Бир гана багытты көргөн текшерүү чекити сүйлөшүүнүн жарымын өткөрүп жиберет, ал эми VPN катышканда асимметриялык маршруттоо кеңири таралган. Бир тараптуу кармоону толук деп эсептөөдөн мурун жооптор ошол эле сенсор аркылуу өтөрүн ырастаңыз.
Ички IP пакетин калыбына келтирүү анын ичиндеги HTTPS сессиясын да шифрден чыгарбайт. Эгер саясат суроосу агымдарга эмес, мазмунга тиешелүү болсо, сенсордун ордун кайра жылдыруу керек жана бул чечим ошол эле долбоор документине таандык.
VLAN талаасы көрүнүшү үчүн гана чексиз транкты сенсорго чейин узартуу баштапкы суроого жооп бербей эле тармактын чегин чоңойтот. Саясатка керектүү маалымат үчүн орунду тандаңыз, ал эмнени көрө албастыгын жазып коюңуз жана суроо өзгөргөндө тандоону кайра карап чыгыңыз.