Kodėl maršrutizuoto VPN įrašas niekada nerodo filialo VLAN žymos

Tunelio sąsajoje padaryti įrašai niekada nerodys filialo VLAN ID, ir tai yra dizaino savybė, o ne įrankio spraga. Maršrutizuotas TUN tunelis perduoda IP paketus, todėl pažymėtas Ethernet kadras, kuris juos nešė filialo jungtyje, baigiasi tame maršrutizatoriuje, kuris juos maršrutizavo. Jei jūsų politikos klausimas apie segmentus, jutiklio padėtis turi būti parinkta tam klausimui prieš pradedant įrašą. VLAN laukas, kurio tikėjotės, turi būti pakeistas kontekstu, kurį galite apginti.

Pažiūrėkite, ką iš tikrųjų perduoda tunelio sąsaja

TUN pristato IP paketus hostui; TAP pristato Ethernet kadrus. Maršrutizuotas dizainas naudoja pirmąjį, o tai reiškia, kad paketas, atvykstantis po iššifravimo, iš viso neturi jungties lygmens antraštės, todėl nėra ir 802.1Q žymos, kurią būtų galima perskaityti. Kelyje nieko nebuvo nuimta, nes žyma niekada nepateko į tunelį. Vidinis paketas prasideda nuo savo IP antraštės, todėl kiekvienas laukas, kurio tikisi VLAN suprantanti taisyklė, tiesiog neegzistuoja.

Prieš ginčydamiesi dėl įrašo patvirtinkite sąsajos tipą, nes toje pačioje diegimo aplinkoje esantis TAP įrenginys elgsis kitaip ir paskatins neteisingą išvadą.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Pirmoji komanda atspausdina įrenginio tipą ir jo požymius. Antroji atspausdina jungties lygmens antraštes pirmiesiems dvidešimt paketų, o TUN įrenginyje išvestis prasideda nuo IP be Ethernet bloko, ir tai yra visas paaiškinimas viename ekrane.

TAP pasirinkimas taip pat neatkuria žymos. TAP įrenginys perduoda kadrus tiltui, o tai, kas nutinka žymai, priklauso nuo tilto VLAN filtravimo ir sukonfigūruotos prievado narystės. Tai atskiras dizaino sprendimas su savo gedimo režimais.

Atsistokite vienoje iš trijų vietų ir priimkite tai, ką ji gali matyti

Filialo Ethernet segmente žyma yra, tačiau jutiklis mato tik vietinį to segmento srautą. Išoriniame VPN tinkle srautas yra apsaugotas, todėl stebėtojas sužino galinius taškus ir apimtį ir nieko apie vidinį paketą. TUN kelyje po iššifravimo vidinis IP paketas yra prieinamas su jo adresavimu ir prievadais, ir be filialo kadro. Todėl to paties srauto įrašas magistralėje ir maršrutizuotas įrašas atrodo kaip du skirtingi pokalbiai.

Tos trys pozicijos atsako į tris skirtingus klausimus, ir vienas įrašas negali būti visi iš karto.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Paleiskite porą ir palyginkite. Pirmasis rodo pažymėtus kadrus ir jų VLAN ID ten, kur filialo jungtis yra magistralė į hostą; antrasis rodo tą patį pokalbį kaip paprastą IP po maršrutizavimo. Jei pirmasis nieko negrąžina, patikrinkite, ar hosto prievadas yra prieigos prievadas, nes tada žymą jau pašalino komutatorius ir joks įrašas hoste jos niekada neparodys.

Pakeiskite trūkstamą žymą susiejimu, kurį galite apginti

Jei politika skiria segmentus pagal IP priešdėlį, užrašykite tą susiejimą kartu su jo ribomis. Persidengiančios adresų sritys, šaltinio vertimas ir bendra tarpinė įranga kiekvienas gali padaryti vieną priešdėlį nepakankamą nustatyti, iš kur paketas iš tikrųjų atėjo.

Pasitikėkite sąsaja ir maršrutizavimo kontekstu, kuriuos kontroliuojate, o ne žyme, kurią pateikia klientas. Antraštės laukas, kurį gali nustatyti partneris, nėra narystės įrodymas, ir patikrinimo taisyklė, kuri jį taip traktuoja, lengvai apeinama.

ip route get 10.20.30.40
ip -br addr show

Pirmoji komanda praneša sąsają ir šaltinį, kuriuos branduolys naudotų paskirties vietai, ir tai yra vietinis prisijungimo prie segmento vaizdas. Antroji išvardija adresus pagal sąsają, kad jūsų susiejimo priešdėliai būtų tikrinami su realybe, o ne su schema.

Prieš pasitikėdami rezultatu patikrinkite grįžimo kelią ir naudingąją apkrovą

Patikrinimo taškas, matantis tik vieną kryptį, praleis pusę pokalbio, o asimetrinis maršrutizavimas įprastas, kai dalyvauja VPN. Patvirtinkite, kad atsakymai eina per tą patį jutiklį, prieš laikydami vienpusį įrašą išsamiu.

Vidinio IP paketo atkūrimas taip pat neiššifruoja jame esančios HTTPS sesijos. Jei politikos klausimas apie turinį, o ne srautus, jutiklio padėtis turi vėl pasikeisti, ir tas sprendimas priklauso tam pačiam dizaino dokumentui.

Neribotos magistralės pratęsimas iki jutiklio vien tam, kad atsirastų VLAN laukas, padidina tinklo ribą neatsakydamas į pradinį klausimą. Pasirinkite padėtį informacijai, kurios reikia politikai, užrašykite, ko ji negali matyti, ir peržiūrėkite pasirinkimą, kai klausimas pasikeis.