Firwat Ären VPN-Sensor niëmools den VLAN-Tag vum Filial gesäit
En gerouteten Tunnel stellt Paketen erëm hier, net d’Framen, déi se transportéiert hunn. Véier Kontrollen zum Interface-Typ, der Sensorpositioun, dem Quellkontext an dem Äntwertpad.
En Sensor op der VPN-Säit gesäit zwee Filial-VLANen als gewéinlechen IP-Trafic, an den Tag, deen all Filial op hirer eege Linn identifizéiert huet, ass fort. Dat ass wat en gerouteten Tunnel mécht: hie stellt Paketen erëm hier, net d’Ethernet-Framen, déi se geliwwert hunn. Ob den feelenden Tag eng Roll spillt, hänkt ganz vun der Fro of, déi Dir dem Sensor stellt. Maacht déi véier Kontrollen hei drënner an der Rei an Dir wësst, wéi ee Beobachtungspunkt se beäntwere kann.
Éischtens: bestëmmt, wat Ären Tunnel erëm hierstellt
En TUN-Interface transportéiert IP-Paketen, dofir hält de VLAN-Header vum Filialsframe beim Router op, deen den Trafic an den Tunnel gedréckt huet. En TAP-Interface transportéiert Ethernet-Framen, wat heescht, datt Tags kënne iwwerliewe wann d’Bréck an d’VLAN-Zouloossregelen se duerchloossen. Liest den Interface-Typ, ier Dir iwwerleet, wat eng Opnam sollt enthalen.
Keng vun den zwou Optiounen ass en Defekt. Déi zwou Designen äntweren op verschidde Froe a loossen den Tag op verschiddene Plazen.
Bestätegt den Interface selwer, amplaz en aus dem Produktnumm ofzeleeden. D’Detailer vun der Verbindung nennen den Apparat-Typ a weisen d’Fändercher déi gëllen, an eng Opnam op engem TUN-Apparat kritt keen Ethernet-Header just well Dir drop gefrot hutt. Wann trotzdeem Tags an enger TUN-Opnam erschéngen, liest Dir bal sécher en aneren Interface oder en Tunnel, deen Framen an senger Notzlaascht dréit. Notéiert a wéi engem Fall Dir sidd, ier Dir weidergeet.
Zweetens: setzt de Sensor dohin, wou den Objet nach existéiert
Dräi Positiounen decken déi meescht gerouteten Designen of: de Filial-Ethernet-Segment, den äusseren Netz tëscht den Tunnelenner, an de Pad no der Tunnelveraarbechtung. Jiddweree gesäit en aneren Objet, an den Tag existéiert just an der éischter. Eng Sensorpositioun ze wielen ass eng Entscheedung doriwwer, wéi en Objet d’Politik brauch, a keng Fro vum Komfort.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Stellt d’Politiksfro an Ausdréck, déi den Table beäntwere kann, an se léist sech meeschtens selwer. Wann d’Regel muss wëssen, vu wéi engem Filial e Paket komm ass, kann d’Präfix-Mapping flossofwäerts duergoen, awer just soulaang déi Mapping genee an eendeiteg ass. Wann d’Regel muss wëssen, op wéi enger Port de Frame ukomm ass, braucht Dir déi éischt Positioun, well flossofwäerts näischt et kann rekonstruéieren. Sensoren, déi aus Gewunnecht amplaz aus enger Fro plazéiert ginn, sinn de Grond, firwat d’Equipen um Enn e Feld verlaangen, dat den Design ni gedroen huet.
En Tunnel, deen Ethernet transportéiert, ass en aneren Design an brauch seng eege Kontroll vum Wat d’Enner behalen oder ëmschreiwen. Just TAP ze wielen definéiert nach ëmmer net d’Bréck, d’VLAN-Zouloossregelen oder d’Inspektiounspolitik.
Drëttens: verdéngt Iech de Quellkontext, amplaz him ze vertrauen
Ee Adressberäich pro Filial ass de gewéinlechen Ersatz fir VLAN-Identitéit, an et hält just soulaang d’Mapping eng-zu-eng bleift. Iwwerlappend Präfixen, Iwwersetzung an eng gedeelte Paart briechen all dës Annahm op eng Manéier, déi wéi e Datequalitéitsproblem ausgesäit an net wéi en Designproblem. Schreift d’Mapping mat hire Grenzen op a sot, wat mat engem Paket geschitt, dat op zwou Reien passt. E Präfix, deen an zwou Filiale opdaucht, sollt e Feeler sinn, deen Dir entdeckt, an net en Mënzworf, deen Dir akzeptéiert.
De Kontext, dee vum Client geliwwert gëtt, ass kee Beweis vun der Memberschaft. Et ass eng Behauptung, an et gehéiert an eng aner Kolonn.
Wou den Ënnerscheed wichteg ass, benotzt Associatiounsdaten, déi Dir kontrolléiert: wéi eng Tunnelinstanz d’Verbindung ugeholl huet, op wéi engem Interface d’Pakete ukomm sinn, wat déi lokal Routentabel iwwer dee Peer seet. En Etikett vum Client ass en nëtzlechen Indice an eng nëtzlos Autorisatiounsagab. Wann de Sensor d’Associatioun net vu senger Säit hierstelle kann, brauch d’Politik eng méi breet Regel amplaz eng selbstsécher Vermutung.
Véiertens: bestätegt den Äntwertpad a wat d’Entschlësselung iwwersäit
En Sensor, deen nëmmen eng Richtung gesäit, kann nach ëmmer gesond ausgesinn, well Ufroen zäitgerecht ukommen. Kontrolléiert den Äntwertpad ausdrécklech, a kontrolléiert en fir dee selwechte Floss an net fir allgemeng Erreechbarkeet. Hallef-Duplex-Sichtbarkeet gëtt eng stëll Lach an all zoustänneg Conclusioun, déi Dir doraus zitt.
Den interne IP-Trafic erëm hierzestellen ass och net datselwecht wéi d’Applikatioun dobannen ze gesinn, well TLS, deen iwwer den Tunnel gedroe gëtt, TLS bleift.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Déi zwou Kommandoen beäntweren d’Interface-Fro a weisen, wat d’Opnam wierklech enthält, wat méi séier ass wéi iwwer d’Architektur ze streiden. Ersetzt den Interface-Numm, deen Ären Design benotzt, a fuert d’Opnam aus, während de Floss, deen Iech interesséiert, aktiv ass. Wann keen Tag op engem TUN-Apparat erschéngt, ass d’Befonnt, datt den Design geroutet huet amplaz ze brécken, an net, datt de Sensor Daten verluere huet. Dann entweder bewegt de Sensor op eng Positioun, déi den Tag ka gesinn, oder schreift d’Regel an Ausdréck ëm, déi déi aktuell Positioun kann droen.