Зошто снимањето во рутиран VPN никогаш не ја покажува VLAN ознаката на огранокот

Снимките направени на интерфејсот на тунелот никогаш нема да го покажат VLAN ID на огранокот, и тоа е својство на дизајнот, а не празнина во алатката. Рутиран TUN тунел пренесува IP пакети, па означената Ethernet рамка што ги носеше на врската на огранокот завршува кај рутерот што ги рутираше. Ако прашањето на вашата политика е за сегменти, позицијата на сензорот мора да биде избрана за тоа прашање пред да започне снимањето. Полето VLAN што го очекувавте мора да се замени со контекст што можете да го одбраните.

Погледнете што навистина пренесува интерфејсот на тунелот

TUN доставува IP пакети до домаќинот; TAP доставува Ethernet рамки. Рутираниот дизајн го користи првото, што значи дека пакетот што пристигнува по дешифрирањето воопшто нема заглавје на слојот за врска, и затоа нема 802.1Q ознака за читање. Ништо не беше отстрането на патот, бидејќи ознаката никогаш не влезе во тунелот. Внатрешниот пакет започнува од своето IP заглавје, па секое поле што го очекува правило свесно за VLAN едноставно отсуствува.

Потврдете го типот на интерфејсот пред да расправате за снимањето, бидејќи TAP уред во истото распоредување ќе се однесува поинаку и ќе ве доведе до погрешен заклучок.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Првата команда го печати типот на уредот и неговите знамиња. Втората ги печати заглавјата на слојот за врска за првите дваесет пакети, а на TUN уред излезот започнува од IP без Ethernet блок, што е целото објаснување на еден екран.

Изборот на TAP исто така не ја враќа ознаката. TAP уред пренесува рамки до мост, а што се случува со ознаката зависи од VLAN филтрирањето на мостот и конфигурираното членство на портата. Тоа е одделна дизајнерска одлука со свои режими на откажување.

Застанете на едно од три места и прифатете што може да види

На Ethernet сегментот на огранокот ознаката е присутна, но сензорот гледа само локален сообраќај на тој сегмент. На надворешната VPN мрежа сообраќајот е заштитен, па набљудувачот ги дознава крајните точки и обемот и ништо за внатрешниот пакет. На патеката TUN по дешифрирањето внатрешниот IP пакет е достапен, со неговото адресирање и портите, и без рамката на огранокот. Затоа снимање на trunk и рутирано снимање на истиот тек изгледаат како два различни разговори.

Тие три позиции одговараат на три различни прашања, и едно снимање не може да биде сите одеднаш.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Извршете го парот и споредете. Првото покажува означени рамки и нивните VLAN ID каде врската на огранокот е trunk кон домаќинот; второто го покажува истиот разговор како обичен IP по рутирањето. Ако првото не врати ништо, проверете дали портата на домаќинот е пристапна порта, бидејќи тогаш ознаката веќе е отстранета од преклопникот и ниту едно снимање на домаќинот никогаш нема да ја покаже.

Заменете ја ознаката што недостасува со мапирање што можете да го одбраните

Ако политиката ги разликува сегментите по IP префикс, запишете го тоа мапирање заедно со неговите граници. Преклопувачките опсези на адреси, преводот на изворот и заедничката порта секој може да го направат еден префикс недоволен за да се утврди од каде пакетот навистина дошол.

Верувајте му на интерфејсот и контекстот на рутирање што ги контролирате, а не на ознака што ја дава клиентот. Поле во заглавјето што партнерот може да го постави не е доказ за членство, и правило за проверка што го третира како такво лесно се заобиколува.

ip route get 10.20.30.40
ip -br addr show

Првата команда го известува интерфејсот и изворот што јадрото би ги користело за одредиште, што е локалниот поглед на поврзаноста со сегментот. Втората ги наведува адресите по интерфејс, за да можат префиксите во вашето мапирање да се проверат против реалноста, а не против дијаграмот.

Проверете ја повратната патека и носивоста пред да му верувате на резултатот

Точката за проверка што гледа само еден правец ќе пропушти половина разговор, а асиметричното рутирање е вообичаено штом е вклучен VPN. Потврдете дека одговорите поминуваат низ истиот сензор пред едностраното снимање да го сметате за целосно.

Враќањето на внатрешниот IP пакет исто така не дешифрира HTTPS сесија во него. Ако прашањето на политиката е за содржината, а не за тековите, позицијата на сензорот мора повторно да се премести, и таа одлука припаѓа на истиот дизајнерски документ.

Продолжувањето на неограничен trunk до сензор само за да се појави поле VLAN ја зголемува мрежната граница без да одговори на првобитното прашање. Изберете ја позицијата за информацијата што и е потребна на политиката, запишете што не може да види, и преиспитајте го изборот кога прашањето ќе се промени.