Kāpēc jūsu VPN sensors nekad neredz filiāles VLAN atzīmi
Maršrutēts tunelis atjauno paketes, nevis kadrus, kas tās nogādāja. Četras pārbaudes par saskarnes tipu, sensora novietojumu, avota kontekstu un atbildes ceļu.
Sensors VPN pusē redz divus filiāles VLAN kā parastu IP datplūsmu, un atzīme, kas katru filiāli identificēja tās pašas vadā, ir pazudusi. Tieši to dara maršrutēts tunelis: tas atjauno paketes, nevis Ethernet kadrus, kas tās piegādāja. Vai pazudušajai atzīmei ir nozīme, pilnībā atkarīgs no jautājuma, ko uzdodat sensoram. Veiciet četras pārbaudes zemāk pēc kārtas, un jūs zināsiet, kurš novērošanas punkts uz to var atbildēt.
Pirmkārt: nosakiet, ko atjauno jūsu tunelis
TUN saskarne pārvadā IP paketes, tāpēc filiāles kadra VLAN galvene apstājas pie maršrutētāja, kas datplūsmu iespieda tunelī. TAP saskarne pārvadā Ethernet kadrus, kas nozīmē, ka atzīmes var izdzīvot, kad tilts un VLAN pielaišanas noteikumi tās laiž cauri. Izlasiet saskarnes tipu, pirms spriežat, kas ierakstam būtu jāsatur.
Neviena izvēle nav defekts. Abi risinājumi atbild uz dažādiem jautājumiem un atstāj atzīmi dažādās vietās.
Pārbaudiet saskarni paši, nevis seciniet to no produkta nosaukuma. Savienojuma informācija nosauc ierīces tipu un parāda spēkā esošos karodziņus, un TUN ierīcē uzņemts ieraksts nesaņems Ethernet galveni tikai tāpēc, ka jūs to pieprasījāt. Ja TUN ierakstā tomēr parādās atzīmes, jūs gandrīz noteikti lasāt citu saskarni vai tuneli, kas pārvadā kadrus savas lietderīgās kravas iekšienē. Pirms turpināt atzīmējiet, kurš gadījums ir jūsu.
Otrkārt: novietojiet sensoru tur, kur objekts vēl pastāv
Trīs pozīcijas aptver lielāko daļu maršrutētu risinājumu: filiāles Ethernet segments, ārējais tīkls starp tuneļa galiem un ceļš pēc tuneļa apstrādes. Katra redz citu objektu, un atzīme pastāv tikai pirmajā. Sensora pozīcijas izvēle ir lēmums par to, kurš objekts vajadzīgs politikai, nevis ērtības jautājums.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Uzdodiet politikas jautājumu tādos terminos, uz kuriem tabula var atbildēt, un tas parasti atrisinās pats. Ja noteikumam jāzina, no kuras filiāles nāca pakete, zemāk esošais prefiksu kartējums var būt pietiekams, bet tikai tik ilgi, kamēr šis kartējums ir precīzs un viennozīmīgs. Ja noteikumam jāzina, uz kuru portu ieradās kadrs, jums vajadzīga pirmā pozīcija, jo nekas zemāk to nevar rekonstruēt. Sensori, kas novietoti ieraduma, nevis jautājuma dēļ, ir iemesls, kāpēc komandas galu galā pieprasa lauku, ko risinājums nekad nav nesis.
Tunelis, kas pārvadā Ethernet, ir cits risinājums un prasa savu pārbaudi par to, ko gali saglabā vai pārraksta. Tikai TAP izvēle joprojām nedefinē tiltu, VLAN pielaišanas noteikumus vai pārbaudes politiku.
Treškārt: nopelni avota kontekstu, nevis paļaujies uz to
Viens adrešu diapazons katrai filiālei ir ierastais VLAN identitātes aizstājējs, un tas ir spēkā tikai tik ilgi, kamēr kartējums paliek viens pret vienu. Pārklājošies prefiksi, tulkošana un kopīga vārteja katrs salauž šo pieņēmumu tā, ka tas izskatās pēc datu kvalitātes, nevis risinājuma problēmas. Pierakstiet kartējumu ar tā robežām un pasakiet, kas notiek ar paketi, kas atbilst divām rindām. Prefiksam, kas parādās divās filiālēs, jābūt jūsu atklātai kļūdai, nevis pieņemtam monētas metienam.
Klienta sniegtais konteksts nav dalības pierādījums. Tas ir apgalvojums, un tā vieta ir citā kolonnā.
Kur atšķirība ir svarīga, izmantojiet savus kontrolētos saistīšanas datus: kura tuneļa instance pieņēma savienojumu, kurā saskarnē ieradās paketes, ko vietējā maršrutu tabula saka par to partneri. Klienta sniegtā etiķete ir noderīgs mājiens un nederīga autorizācijas ievade. Ja sensors nevar noteikt saistību no savas puses, politikai vajadzīgs plašāks noteikums, nevis pārliecināta minējums.
Ceturtkārt: apstipriniet atbildes ceļu un to, ko palaiž garām atšifrēšana
Sensors, kas redz tikai vienu virzienu, joprojām var izskatīties vesels, jo pieprasījumi turpina ierasties laikā. Pārbaudiet atbildes ceļu skaidri un pārbaudiet to tam pašam plūsmam, nevis vispārējai sasniedzamībai. Pusdupleksa redzamība kļūst par klusu robu katrā stāvokļa secinājumā, ko no tā izdarāt.
Iekšējās IP datplūsmas atjaunošana arī nav tas pats, kas lietojumprogrammas redzēšana tajā, jo TLS, kas pārvadāts pa tuneli, paliek TLS.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Šīs divas komandas atbild uz saskarnes jautājumu un parāda, ko ieraksts patiešām satur, kas ir ātrāk nekā strīdēties par arhitektūru. Aizstājiet saskarnes nosaukumu, ko izmanto jūsu risinājums, un palaidiet ierakstu, kamēr jūs interesējošā plūsma ir aktīva. Kad TUN ierīcē neparādās neviena atzīme, secinājums ir tāds, ka risinājums maršrutēja, nevis tiltināja, nevis tas, ka sensors pazaudēja datus. Pēc tam vai nu pārvietojiet sensoru uz pozīciju, kas redz atzīmi, vai pārrakstiet noteikumu terminos, ko pašreizējā pozīcija var atbalstīt.