Kāpēc maršrutēta VPN uzņemšana nekad neparāda filiāles VLAN birku

Tuneļa saskarnē veiktie uztveršanas faili nekad neparādīs filiāles VLAN ID, un tā ir dizaina īpašība, nevis rīka trūkums. Maršrutēts TUN tunelis pārnēsā IP paketes, tāpēc biržotais Ethernet kadrs, kas tās pārnēsāja filiāles saitē, beidzas pie tā maršrutētāja, kas tās maršrutēja. Ja jūsu politikas jautājums ir par segmentiem, sensora pozīcija ir jāizvēlas šim jautājumam pirms uzņemšanas sākuma. VLAN lauks, ko gaidījāt, ir jāaizstāj ar kontekstu, ko varat aizstāvēt.

Apskatiet, ko tuneļa saskarne patiešām pārnēsā

TUN piegādā IP paketes resursdatoram; TAP piegādā Ethernet kadrus. Maršrutēts dizains izmanto pirmo, kas nozīmē, ka paketei, kas ierodas pēc atšifrēšanas, vispār nav saites slāņa galvenes, un tāpēc nav arī 802.1Q birkas, ko nolasīt. Pa ceļam nekas netika noņemts, jo birka nekad neiekļuva tunelī. Iekšējā pakete sākas ar savu IP galveni, tāpēc katrs lauks, ko sagaida VLAN apzināts noteikums, vienkārši nav.

Pirms strīdēšanās par uzņemšanu apstipriniet saskarnes veidu, jo TAP ierīce tajā pašā izvietojumā uzvedīsies citādi un novedīs pie nepareiza secinājuma.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Pirmā komanda izdrukā ierīces veidu un tās karodziņus. Otrā izdrukā saites slāņa galvenes pirmajām divdesmit paketēm, un TUN ierīcē izvade sākas ar IP bez Ethernet bloka, kas ir viss skaidrojums vienā ekrānā.

TAP izvēle arī neatjauno birku. TAP ierīce nodod kadrus tiltam, un tas, kas notiek ar birku, ir atkarīgs no tilta VLAN filtrēšanas un porta konfigurētās piederības. Tas ir atsevišķs dizaina lēmums ar saviem atteices režīmiem.

Nostājieties vienā no trim vietām un pieņemiet to, ko tā var redzēt

Filiāles Ethernet segmentā birka ir, bet sensors redz tikai vietējo satiksmi šajā segmentā. Ārējā VPN tīklā satiksme ir aizsargāta, tāpēc novērotājs uzzina galapunktus un apjomu un neko par iekšējo paketi. TUN ceļā pēc atšifrēšanas iekšējā IP pakete ir pieejama ar tās adresāciju un portiem, un bez filiāles kadra. Tāpēc vienas un tās pašas plūsmas uzņemšana uz stumbra un maršrutēta uzņemšana izskatās kā divas dažādas sarunas.

Šīs trīs pozīcijas atbild uz trim dažādiem jautājumiem, un viena uzņemšana nevar būt visas vienlaikus.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Palaidiet pāri un salīdziniet. Pirmā parāda biržotos kadrus un to VLAN ID tur, kur filiāles saite ir stumbrs uz resursdatoru; otrā parāda to pašu sarunu kā vienkāršu IP pēc maršrutēšanas. Ja pirmā neatgriež neko, pārbaudiet, vai resursdatora ports ir piekļuves ports, jo tad birku jau ir noņēmis komutators un neviena uzņemšana resursdatorā to nekad neparādīs.

Aizstājiet trūkstošo birku ar kartējumu, ko varat aizstāvēt

Ja politika atšķir segmentus pēc IP prefiksa, pierakstiet šo kartējumu kopā ar tā robežām. Pārklājošie adrešu diapazoni, avota tulkošana un koplietota vārteja katrs var padarīt vienu prefiksu nepietiekamu, lai noteiktu, no kurienes pakete patiešām nāca.

Uzticieties saskarnei un maršrutēšanas kontekstam, ko kontrolējat, nevis birku, ko nodrošina klients. Galvenes lauks, ko var iestatīt vienaudzis, nav piederības pierādījums, un pārbaudes noteikums, kas to tā uzskata, ir viegli apiet.

ip route get 10.20.30.40
ip -br addr show

Pirmā komanda ziņo par saskarni un avotu, ko kodols izmantotu galamērķim, un tas ir lokālais skatījums uz segmenta piesaisti. Otrā uzskaita adreses pa saskarnēm, lai jūsu kartējuma prefiksus varētu pārbaudīt pret realitāti, nevis pret diagrammu.

Pirms uzticēties rezultātam pārbaudiet atgriešanās ceļu un lietderīgo kravu

Pārbaudes punkts, kas redz tikai vienu virzienu, palaidīs garām pusi sarunas, un asimetriska maršrutēšana ir ierasta, tiklīdz iesaistīts VPN. Apstipriniet, ka atbildes iet caur to pašu sensoru, pirms uzskatāt vienpusēju uzņemšanu par pilnīgu.

Iekšējās IP paketes atgūšana arī neatšifrē tajā esošo HTTPS sesiju. Ja politikas jautājums ir par saturu, nevis plūsmām, sensora pozīcija ir jāpārvieto vēlreiz, un šis lēmums pieder tam pašam dizaina dokumentam.

Neierobežota stumbra pagarināšana līdz sensoram tikai tāpēc, lai parādītos VLAN lauks, palielina tīkla robežu, neatbildot uz sākotnējo jautājumu. Izvēlieties pozīciju informācijai, kas nepieciešama politikai, pierakstiet, ko tā nevar redzēt, un pārskatiet izvēli, kad jautājums mainās.