VPN сенсоруңуз филиалдын VLAN тегин эмне үчүн эч качан көрбөйт
Маршрутталган туннель пакеттерди калыбына келтирет, аларды жеткирген кадрларды эмес. Интерфейс түрү, сенсордун орду, булак контексти жана жооп жолу боюнча төрт текшерүү.
VPN тараптагы сенсор эки филиал VLANды кадимки IP трафиги катары көрөт, ал эми ар бир филиалды өз зымында аныктаган тег жоголду. Маршрутталган туннель так ушундай кылат: пакеттерди калыбына келтирет, аларды жеткирген Ethernet кадрларын эмес. Жоголгон тег маанилүүбү же жокпу, сенсорго койгон сурооңузга толугу менен байланыштуу. Төмөнкү төрт текшерүүнү ирети менен аткарыңыз, ошондо кайсы байкоо чекити ага жооп бере аларын билесиз.
Биринчиден: туннелиңиз эмнени калыбына келтирерин аныктаңыз
TUN интерфейси IP пакеттерин ташыйт, ошондуктан филиал кадрынын VLAN аталышы трафикти туннелге түрткөн маршрутизатордо токтойт. TAP интерфейси Ethernet кадрларын ташыйт, бу көпүрө жана VLAN кабыл алуу эрежелери өткөрсө, тегдер сакталышы мүмкүн дегенди билдирет. Жазууда эмне болушу керектиги жөнүндө ойлонуудан мурун интерфейс түрүн окуңуз.
Эки тандоонун экөө тең кемчилик эмес. Эки долбоор ар башка суроолорго жооп берет жана тегди ар башка жерлерде калтырат.
Интерфейсти продукт атынан божомолдоонун ордуна өзүңүз текшериңиз. Туташуу деталдары түзмөктүн түрүн атайт жана колдонуудагы желелектерди көрсөтөт, ал эми TUN түзмөгүндө алынган жазуу сиз сураганыңыз үчүн гана Ethernet аталышын ала бербейт. Эгер TUN жазуусунда тегдер пайда болсо, сиз дээрлик сөзсүз башка интерфейсти же кадрларды өз пайдалуу жүгүнүн ичинде ташыган туннелди окуп жатасыз. Улантуудан мурун кайсы учурда экениңизди белгилеңиз.
Экинчиден: сенсорду объект дагы эле бар жерге коюңуз
Үч орун маршрутталган долбоорлордун көбүн камтыйт: филиалдын Ethernet сегменти, туннелдин учтарынын ортосундагы тышкы тармак жана туннелди иштетүүдөн кийинки жол. Ар бири башка объектини көрөт, ал эми тег биринчисинде гана бар. Сенсордун ордун тандоо — саясатка кайсы объект керек экени тууралуу чечим, ыңгайлуулук маселеси эмес.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Саясат суроосун таблица жооп бере алган сөздөр менен коюңуз, ал адатта өзү чечилет. Эгер эреже пакеттин кайсы филиалдан келгенин билиши керек болсо, төмөнкү префикс дал келтирүү жетиштүү болушу мүмкүн, бирок ошол дал келтирүү так жана бир маанилүү болгонго чейин гана. Эгер эреже кадрдын кайсы портко келгенин билиши керек болсо, сизге биринчи орун керек, анткени төмөндө эч нерсе аны кайра кура албайт. Адаттан, суроодон эмес коюлган сенсорлор — командалардын долбоор эч качан көтөрбөгөн талааны талап кылышынын себеби.
Ethernet ташыган туннель башка долбоор жана учтар эмнени сактайрын же кайра жазарын өзүнчө текшерүүнү талап кылат. Жалгыз TAP тандоо дагы эле көпүрөнү, VLAN кабыл алуу эрежелерин же текшерүү саясатын аныктабайт.
Үчүнчүдөн: булак контекстине ишенүүнүн ордуна аны ээлеңиз
Ар бир филиалга бир дарек диапазону VLAN инсандыгынын адаттагы ордун басуучусу, ал дал келтирүү бирден бирге бойдон турганда гана жарактуу. Кайчылашкан префикстер, котормо жана жалпы шлюз — ар бири бул божомолду долбоордун эмес, маалымат сапатынын маселесине окшош кылып бузат. Дал келтирүүнү чектери менен жазып, эки сапка дал келген пакетке эмне болорун айтыңыз. Эки филиалда көрүнгөн префикс сиз аныктаган ката болушу керек, сиз кабыл алган тыйын ыргытуу эмес.
Кардар берген контекст мүчөлүктүн далили эмес. Бул ырастоо, жана анын орду башка мамычада.
Айырма маанилүү жерде өзүңүз көзөмөлдөгөн байланыш маалыматтарын колдонуңуз: кайсы туннель үлгүсү туташууну кабыл алды, пакеттер кайсы интерфейске келди, жергиликтүү маршрут таблицасы ошол шерик жөнүндө эмне дейт. Кардар берген белги пайдалуу белги жана авторизация үчүн пайдасыз киргизүү. Эгер сенсор байланышты өз тарабынан орното албаса, саясатка өзүнө ишенген божомолдун ордуна кененирээк эреже керек.
Төртүнчүдөн: жооп жолун жана шифр чечүү эмнени өткөрүп жиберерин текшериңиз
Бир гана багытты көргөн сенсор дагы эле соо көрүнүшү мүмкүн, анткени суроолор график боюнча келе берет. Жооп жолун ачык текшериңиз жана аны жалпы жеткиликтүүлүк үчүн эмес, ошол агым үчүн текшериңиз. Жарым кош багыттуу көрүнүү андан жасаган абалга негизделген ар бир тыянакта үнсүз боштукка айланат.
Ички IP трафигин калыбына келтирүү да анын ичиндеги колдонмону көрүү менен бирдей эмес, анткени туннель аркылуу ташылаган TLS TLS бойдон калат.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Бул эки буйрук интерфейс суроосуна жооп берет жана жазууда чын эле эмне бар экенин көрсөтөт, бул архитектура тууралуу талашуудан тезирээк. Долбооруңуз колдонгон интерфейс атын алмаштырыңыз жана сизди кызыктырган агым активдүү кезде жазууну иштетиңиз. TUN түзмөгүндө эч кандай тег көрүнбөсө, тыянак — сенсор маалыматты жоготкону эмес, долбоор көпүрө куруунун ордуна маршруттаганы. Андан кийин сенсорду тегди көрө алган орунга жылдырыңыз же эрежени учурдагы орун колдой алган терминдер менен кайра жазыңыз.