Firwat eng Opnam an engem geroutete VPN ni de VLAN-Tag vun der Filial weist

Opnamen, déi op der Tunnel-Schnittstell gemaach ginn, wäerten ni d’VLAN-ID vun der Filial weisen, an dat ass eng Eegenschaft vum Design an net eng Lück am Tool. En gerouteten TUN-Tunnel transportéiert IP-Paketen, dofir endet den getaggten Ethernet-Frame, deen se op der Filialverbindung gedroen huet, beim Router, deen se geroutet huet. Wann Är Politiksfro iwwer Segmenter geet, muss d’Sensorpositioun fir déi Fro gewielt ginn, ier d’Opnam ufänkt. D’VLAN-Feld, dat Dir erwaart hutt, muss duerch Kontext ersat ginn, deen Dir verdeedege kënnt.

Kuckt, wat d’Tunnel-Schnittstell tatsächlech transportéiert

TUN liwwert IP-Paketen un den Host; TAP liwwert Ethernet-Framen. En gerouteten Design benotzt déi éischt, wat bedeit, datt de Paket, deen no der Entschlësselung ukommt, iwwerhaapt keen Link-Layer-Header huet, an dofir keen 802.1Q-Tag ze liesen. Et gouf ënnerwee näischt ewechgeholl, well den Tag ni an den Tunnel koum. De bannenzege Paket fänkt u sengem IP-Header un, dofir fehlt all Feld, dat eng VLAN-bewosst Regel erwaart, einfach.

Bestätegt den Interface-Typ, ier Dir iwwer d’Opnam diskutéiert, well en TAP-Apparat an der selwechter Deployement sech anescht behält an zu der falscher Konklusioun féiert.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Den éischte Kommando dréckt den Apparatstyp an seng Fändelen. Den zweete dréckt Link-Layer-Headeren fir déi éischt zwanzeg Pakete, an op engem TUN-Apparat fänkt d’Ausgab bei IP ouni Ethernet-Block un, wat déi ganz Erklärung op engem Bildschierm ass.

TAP ze wielen hëlt den Tag och net zréck. En TAP-Apparat gëtt Framen un eng Bréck weider, an wat mam Tag geschitt, hänkt vun der VLAN-Filterung vun der Bréck an der konfiguréierter Memberschaft vum Port of. Dat ass eng separat Designentscheedung mat hirem eegene Fehlermodus.

Stitt op eng vun dräi Plazen a akzeptéiert, wat se ka gesinn

Op dem Ethernet-Segment vun der Filial ass den Tag do, awer de Sensor gesäit just lokalen Trafik op deem Segment. Op dem baussenzege VPN-Netz ass den Trafik geschützt, dofir léiert en Observateur Endpunkten a Volumen a näischt iwwer de bannenzege Paket. Op dem TUN-Wee no der Entschlësselung ass de bannenzegen IP-Paket verfügbar, mat senger Adresséierung a senge Porte, an ouni de Frame vun der Filial. Dofir gesinn eng Opnam op engem Trunk an eng geroutete Opnam vum selwechte Floss aus wéi zwou verschidde Gespréicher.

Déi dräi Positiounen äntweren op dräi verschidde Froe mat, an eng eenzeg Opnam kann net all op eemol sinn.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Fëllt d’Paar aus a vergläicht. Déi éischt weist getaggte Framen an hir VLAN-IDen, wou d’Filialverbindung zum Host getrunkt ass; déi zweet weist dat selwecht Gespréich als normale IP no dem Routing. Wann déi éischt iwwerhaapt näischt zréckgëtt, kontrolléiert, ob den Host-Port en Access-Port ass, well dann ass den Tag schonn duerch de Switch ewechgeholl ginn an eng Opnam um Host wäert en ni weisen.

Ersetzt den feelenden Tag duerch eng Kartéierung, déi Dir verdeedege kënnt

Wann d’Politik Segmenter no IP-Prefix ënnerscheet, schreift déi Kartéierung mat hire Grenzen op. Iwwerlappend Adressberäicher, Quelltranslatatioun an eng gedeelt Paart kënnen all een eenzegen Prefix onzourechend maachen, fir ze bestëmmen, wou e Paket wierklech hierkënnt.

Vertraut der Schnittstell an dem Routingkontext, deen Dir kontrolléiert, net engem Label, deen de Client gëtt. En Headerfeld, dat en Peer setze kann, ass keen Beweis vu Memberschaft, an eng Inspektiounsregel, déi et sou behandelt, gëtt trivial ëmgaang.

ip route get 10.20.30.40
ip -br addr show

Den éischte Kommando mëttelt d’Schnittstell an d’Quell, déi de Kernel fir en Zil benotze géif, wat déi lokal Vue vun der Segmentupänn ass. Den zweete lëscht Adressen pro Schnittstell op, sou datt d’Prefixen an Ärer Kartéierung géint d’Realitéit an net géint den Diagramm kontrolléiert kënne ginn.

Kontrolléiert den Zréckwee an d’Nottlaascht, ier Dir dem Resultat vertraut

En Inspektiounspunkt, dee just eng Richtung gesäit, verpasst d’Halschent vum Gespréich, an asymmetrescht Routing ass allgemeng, soubal e VPN dobäi ass. Bestätegt, datt Äntwerten dee selwechte Sensor passéieren, ier Dir eng eenstateg Opnam als komplett betruecht.

D’Erhuelen vum bannenzege IP-Paket entschlësselt och keng HTTPS-Sessioun dran. Wann d’Politiksfro iwwer Inhalter an net iwwer Flëss geet, muss d’Sensorpositioun nach eng Kéier verréckelt ginn, an déi Entscheedung gehéiert zu deem selwechten Designdokument.

En onbeschränkten Trunk bis bei e Sensor verlängeren, just fir e VLAN-Feld ze gesinn, vergréissert d’Netzwierkgrenz ouni d’Originalfro ze beäntweren. Wielt d’Positioun fir d’Informatiounen, déi d’Politik brauch, notéiert, wat se net ka gesinn, an iwwerpréift d’Wiel, wann d’Fro sech ännert.