Зошто вашиот VPN сензор никогаш не ја гледа VLAN ознаката на огранокот

Сензор од страната на VPN гледа два огранока VLAN како обичен IP сообраќај, а ознаката што го идентификуваше секој огранок на неговата сопствена жица исчезна. Токму тоа го прави рутираниот тунел: враќа пакети, а не Ethernet рамките што ги доставиле. Дали ознаката што недостасува е важна зависи целосно од прашањето што му го поставувате на сензорот. Изведете ги четирите проверки подолу по ред и ќе знаете која точка на набљудување може да одговори на неа.

Прво: утврдете што враќа вашиот тунел

Интерфејсот TUN пренесува IP пакети, затоа VLAN заглавието на рамката на огранокот запира кај рутерот што го турна сообраќајот во тунелот. Интерфејсот TAP пренесува Ethernet рамки, што значи дека ознаките можат да преживеат кога мостот и правилата за пропуштање на VLAN ги пуштаат. Прочитајте го типот на интерфејсот пред да размислувате што треба да содржи снимката.

Ниту еден од двата избора не е дефект. Двата дизајна одговараат на различни прашања и ја оставаат ознаката на различни места.

Потврдете го интерфејсот сами наместо да го изведувате од името на производот. Деталите за врската го именуваат типот на уредот и ги покажуваат знаменцата што важат, а снимката направена на уред TUN нема да добие Ethernet заглавие само затоа што го побаравте. Ако ознаките сепак се појават во снимка од TUN, речиси сигурно читате друг интерфејс или тунел што пренесува рамки во својот корисен товар. Забележете во кој случај сте пред да продолжите.

Второ: поставете го сензорот каде објектот сѐ уште постои

Три позиции покриваат повеќето рутирани дизајни: Ethernet сегментот на огранокот, надворешната мрежа меѓу краевите на тунелот и патот по обработката на тунелот. Секоја гледа различен објект, а ознаката постои само во првата. Изборот на позиција на сензорот е одлука за тоа на која политиката ѝ треба објект, а не прашање на удобност.

Поставете го прашањето на политиката во термини на кои табелата може да одговори, и тоа обично се решава само. Ако правилото треба да знае од кој огранок дошол пакетот, мапирањето на префиксите подолу може да биде доволно, но само додека тоа мапирање е точно и недвосмислено. Ако правилото треба да знае на кој порт пристигнала рамката, ви треба првата позиција, затоа што ништо подолу не може да го реконструира тоа. Сензорите поставени од навика, а не од прашање, се причината зошто тимовите на крајот бараат поле што дизајнот никогаш не го носел.

Тунел што пренесува Ethernet е различен дизајн и бара своја проверка на тоа што краевите го зачувуваат или препишуваат. Само изборот на TAP сѐ уште не го дефинира мостот, правилата за пропуштање на VLAN или политиката за проверка.

Трето: заслужете го контекстот на изворот наместо да му верувате

Еден опсег на адреси по огранок е вообичаена замена за идентитетот на VLAN, и важи само додека мапирањето останува еден на еден. Преклопените префикси, преводот и заедничкиот портал секој ја крши таа претпоставка на начин што изгледа како проблем со квалитетот на податоците, а не со дизајнот. Запишете го мапирањето со неговите граници и кажете што се случува со пакет што одговара на два реда. Префиксот што се појавува во два огранока треба да биде грешка што ја откривате, а не фрлање паричка што ја прифаќате.

Контекстот што го дава клиентот не е доказ за членство. Тоа е тврдење, и му припаѓа на друга колона.

Каде разликата е важна, користете податоци за поврзување што ги контролирате: која инстанца на тунелот ја прифати врската, на кој интерфејс пристигнаа пакетите, што вели локалната табела за рутирање за тој партнер. Ознаката што ја дава клиентот е корисен навестување и бескорисен влез за авторизација. Ако сензорот не може да го утврди поврзувањето од својата страна, на политиката ѝ треба пошироко правило, а не самоуверена претпоставка.

Четврто: потврдете го патот на одговорот и што пропушта дешифрирањето

Сензор што гледа само една насока сѐ уште може да изгледа здрав, затоа што барањата продолжуваат да пристигнуваат на време. Проверете го патот на одговорот експлицитно и проверете го за истиот тек, а не за општа достапност. Полудуплексната видливост станува тивка празнина во секој заклучок заснован на состојба што го извлекувате од неа.

Враќањето на внатрешниот IP сообраќај исто така не е исто како гледање на апликацијата внатре во него, затоа што TLS пренесен преку тунелот останува TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Овие две наредби одговараат на прашањето за интерфејсот и покажуваат што снимката навистина содржи, што е побрзо од расправа за архитектурата. Заменете го името на интерфејсот што го користи вашиот дизајн и пуштете ја снимката додека текот што ве интересира е активен. Кога на уред TUN не се појавува никаква ознака, наодот е дека дизајнот рутирал наместо да мости, а не дека сензорот изгубил податоци. Потоа или преместете го сензорот на позиција што може да ја види ознаката, или препишете го правилото во термини што тековната позиција може да ги поддржи.