Kodėl jūsų VPN jutiklis niekada nemato filialo VLAN žymos

VPN pusėje esantis jutiklis du filialo VLAN mato kaip paprastą IP srautą, o žyma, kuri kiekvieną filialą identifikavo jo paties laide, dingo. Būtent tai ir daro maršrutizuotas tunelis: jis atkuria paketus, o ne Ethernet kadrus, kurie juos pristatė. Ar trūkstama žyma turi reikšmės, visiškai priklauso nuo klausimo, kurį užduodate jutikliui. Atlikite keturis toliau pateiktus patikrinimus iš eilės ir žinosite, kuris stebėjimo taškas gali į jį atsakyti.

Pirma: nustatykite, ką atkuria jūsų tunelis

TUN sąsaja perduoda IP paketus, todėl filialo kadro VLAN antraštė sustoja ties maršrutizatoriumi, kuris įstūmė srautą į tunelį. TAP sąsaja perduoda Ethernet kadrus, o tai reiškia, kad žymos gali išlikti, kai tiltas ir VLAN įleidimo taisyklės jas praleidžia. Perskaitykite sąsajos tipą prieš svarstydami, ką įrašas turėtų turėti.

Nė vienas pasirinkimas nėra defektas. Abu sprendimai atsako į skirtingus klausimus ir palieka žymą skirtingose vietose.

Patvirtinkite sąsają patys, o ne spręskite iš produkto pavadinimo. Ryšio informacija nurodo įrenginio tipą ir rodo galiojančias vėliavėles, o TUN įrenginyje padarytas įrašas negaus Ethernet antraštės vien todėl, kad jos paprašėte. Jei TUN įraše vis dėlto pasirodo žymos, beveik neabejotinai skaitote kitą sąsają arba tunelį, kuris kadrus perduoda savo naudingosios apkrovos viduje. Prieš tęsdami pažymėkite, kuris atvejis jūsų.

Antra: pastatykite jutiklį ten, kur objektas dar egzistuoja

Trys pozicijos apima daugumą maršrutizuotų sprendimų: filialo Ethernet segmentas, išorinis tinklas tarp tunelio galų ir kelias po tunelio apdorojimo. Kiekviena mato skirtingą objektą, o žyma egzistuoja tik pirmojoje. Jutiklio pozicijos pasirinkimas yra sprendimas, kurio objekto reikia politikai, o ne patogumo klausimas.

Užduokite politikos klausimą tokiais terminais, į kuriuos lentelė gali atsakyti, ir jis dažniausiai išsisprendžia savaime. Jei taisyklei reikia žinoti, iš kurio filialo atėjo paketas, žemiau esantis prefiksų atvaizdavimas gali pakakti, bet tik tol, kol tas atvaizdavimas tikslus ir vienareikšmis. Jei taisyklei reikia žinoti, į kurį prievadą atėjo kadras, jums reikia pirmosios pozicijos, nes niekas žemiau negali to atkurti. Jutikliai, pastatyti iš įpročio, o ne iš klausimo, yra priežastis, kodėl komandos galiausiai reikalauja lauko, kurio sprendimas niekada neturėjo.

Tunelis, perduodantis Ethernet, yra kitas sprendimas ir reikalauja savo patikrinimo, ką galai išsaugo arba perrašo. Vien TAP pasirinkimas vis dar neapibrėžia tilto, VLAN įleidimo taisyklių ar patikros politikos.

Trečia: užsitarnaukite šaltinio kontekstą, o ne pasitikėkite juo

Vienas adresų diapazonas filialui yra įprastas VLAN tapatybės pakaitalas, ir jis galioja tik tol, kol atvaizdavimas išlieka vienas su vienu. Persidengiantys prefiksai, vertimas ir bendra tinklo vartų sąsaja kiekvienas sulaužo šią prielaidą taip, kad tai atrodo duomenų kokybės, o ne sprendimo problema. Užrašykite atvaizdavimą su jo ribomis ir pasakykite, kas nutinka paketui, kuris atitinka dvi eilutes. Prefiksas, atsirandantis dviejuose filialuose, turėtų būti jūsų aptinkama klaida, o ne priimamas monetos metimas.

Kliento pateiktas kontekstas nėra narystės įrodymas. Tai teiginys, ir jo vieta kitoje skiltyje.

Kur skirtumas svarbus, naudokite savo kontroliuojamus susiejimo duomenis: kuri tunelio instancija priėmė ryšį, į kurią sąsają atėjo paketai, ką vietinė maršrutų lentelė sako apie tą partnerį. Kliento pateikta etiketė yra naudinga užuomina ir nenaudinga autorizacijos įvestis. Jei jutiklis negali nustatyti susiejimo iš savo pusės, politikai reikia platesnės taisyklės, o ne pasitikinčio spėjimo.

Ketvirta: patvirtinkite atsakymo kelią ir ką praleidžia iššifravimas

Jutiklis, matantis tik vieną kryptį, vis dar gali atrodyti sveikas, nes užklausos vis atkeliauja laiku. Patikrinkite atsakymo kelią aiškiai ir patikrinkite jį tam pačiam srautui, o ne bendram pasiekiamumui. Pusinė dvipusė matomumas tampa tylia spraga kiekvienoje būsenos išvadoje, kurią iš to darote.

Vidinio IP srauto atkūrimas taip pat nėra tas pats, kas programos viduje matymas, nes per tunelį perduodamas TLS lieka TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Šios dvi komandos atsako į sąsajos klausimą ir parodo, ką įrašas tikrai turi, o tai greičiau nei ginčytis apie architektūrą. Pakeiskite sąsajos pavadinimą, kurį naudoja jūsų sprendimas, ir paleiskite įrašymą, kol jus dominantis srautas aktyvus. Kai TUN įrenginyje nepasirodo jokia žyma, išvada yra ta, kad sprendimas maršrutizavo, o ne tiltino, o ne tai, kad jutiklis pametė duomenis. Tada arba perkelkite jutiklį į poziciją, kuri mato žymą, arba perrašykite taisyklę terminais, kuriuos dabartinė pozicija gali palaikyti.