റൂട്ടഡ് VPN ക്യാപ്ചറിൽ ബ്രാഞ്ചിന്റെ VLAN ടാഗ് ഒരിക്കലും കാണാത്തത് എന്തുകൊണ്ട്

ടണൽ ഇന്റർഫേസിൽ എടുക്കുന്ന ക്യാപ്ചറുകൾ ബ്രാഞ്ചിന്റെ VLAN ID ഒരിക്കലും കാണിക്കില്ല, ഇത് ഉപകരണത്തിന്റെ കുറവല്ല, രൂപകൽപ്പനയുടെ സ്വഭാവമാണ്. റൂട്ടഡ് TUN ടണൽ IP പാക്കറ്റുകൾ കൊണ്ടുപോകുന്നു, അതിനാൽ ബ്രാഞ്ച് ലിങ്കിൽ അവയെ കൊണ്ടുപോയ ടാഗ് ചെയ്ത Ethernet ഫ്രെയിം അവയെ റൂട്ട് ചെയ്ത റൗട്ടറിൽ അവസാനിക്കുന്നു. നിങ്ങളുടെ നയത്തിന്റെ ചോദ്യം സെഗ്മെന്റുകളെക്കുറിച്ചാണെങ്കിൽ, ക്യാപ്ചർ തുടങ്ങുന്നതിന് മുമ്പ് ആ ചോദ്യത്തിനായി സെൻസറിന്റെ സ്ഥാനം തിരഞ്ഞെടുക്കണം. നിങ്ങൾ പ്രതീക്ഷിച്ച VLAN ഫീൽഡ് നിങ്ങൾക്ക് ന്യായീകരിക്കാവുന്ന സന്ദർഭത്താൽ മാറ്റിസ്ഥാപിക്കണം.

ടണൽ ഇന്റർഫേസ് യഥാർത്ഥത്തിൽ എന്താണ് കൊണ്ടുപോകുന്നതെന്ന് നോക്കുക

TUN IP പാക്കറ്റുകൾ ഹോസ്റ്റിലേക്ക് എത്തിക്കുന്നു; TAP Ethernet ഫ്രെയിമുകൾ എത്തിക്കുന്നു. റൂട്ടഡ് രൂപകൽപ്പന ആദ്യത്തേത് ഉപയോഗിക്കുന്നു, അതായത് ഡീക്രിപ്ഷന് ശേഷം വരുന്ന പാക്കറ്റിന് ലിങ്ക്-ലെയർ ഹെഡർ ഒട്ടും ഇല്ല, അതിനാൽ വായിക്കാൻ 802.1Q ടാഗും ഇല്ല. വഴിയിൽ ഒന്നും നീക്കം ചെയ്തിട്ടില്ല, കാരണം ടാഗ് ഒരിക്കലും ടണലിൽ പ്രവേശിച്ചിട്ടില്ല. ആന്തരിക പാക്കറ്റ് അതിന്റെ IP ഹെഡറിൽ നിന്ന് ആരംഭിക്കുന്നു, അതിനാൽ VLAN അറിയുന്ന നിയമം പ്രതീക്ഷിക്കുന്ന ഓരോ ഫീൽഡും വെറുതെ ഇല്ല.

ക്യാപ്ചറിനെക്കുറിച്ച് വാദിക്കുന്നതിന് മുമ്പ് ഇന്റർഫേസ് തരം ഉറപ്പാക്കുക, കാരണം അതേ വിന്യാസത്തിലുള്ള TAP ഉപകരണം വ്യത്യസ്തമായി പെരുമാറി തെറ്റായ നിഗമനത്തിലേക്ക് നയിക്കും.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

ആദ്യ കമാൻഡ് ഉപകരണ തരവും അതിന്റെ ഫ്ലാഗുകളും പ്രിന്റ് ചെയ്യുന്നു. രണ്ടാമത്തേത് ആദ്യ ഇരുപത് പാക്കറ്റുകളുടെ ലിങ്ക്-ലെയർ ഹെഡറുകൾ പ്രിന്റ് ചെയ്യുന്നു, TUN ഉപകരണത്തിൽ ഔട്ട്പുട്ട് Ethernet ബ്ലോക്ക് ഇല്ലാതെ IP യിൽ നിന്ന് ആരംഭിക്കുന്നു, അതാണ് ഒരു സ്ക്രീനിലെ മുഴുവൻ വിശദീകരണം.

TAP തിരഞ്ഞെടുത്താലും ടാഗ് തിരികെ വരുന്നില്ല. TAP ഉപകരണം ഫ്രെയിമുകൾ ഒരു ബ്രിഡ്ജിലേക്ക് കൈമാറുന്നു, ടാഗിന് എന്ത് സംഭവിക്കുന്നു എന്നത് ബ്രിഡ്ജിന്റെ VLAN ഫിൽട്ടറിംഗിനെയും പോർട്ടിന്റെ കോൺഫിഗർ ചെയ്ത അംഗത്വത്തെയും ആശ്രയിച്ചിരിക്കുന്നു. ഇത് സ്വന്തം പരാജയ മോഡുകളുള്ള വേറിട്ട രൂപകൽപ്പന തീരുമാനമാണ്.

മൂന്ന് സ്ഥലങ്ങളിൽ ഒന്നിൽ നിൽക്കുക, അതിന് കാണാൻ കഴിയുന്നത് സ്വീകരിക്കുക

ബ്രാഞ്ചിന്റെ Ethernet സെഗ്മെന്റിൽ ടാഗ് ഉണ്ട്, പക്ഷേ സെൻസർ ആ സെഗ്മെന്റിലെ പ്രാദേശിക ട്രാഫിക് മാത്രം കാണുന്നു. പുറത്തെ VPN നെറ്റ്വർക്കിൽ ട്രാഫിക് സംരക്ഷിതമാണ്, അതിനാൽ നിരീക്ഷകൻ അറ്റങ്ങളും അളവും മാത്രം അറിയുന്നു, ആന്തരിക പാക്കറ്റിനെക്കുറിച്ച് ഒന്നുമില്ല. ഡീക്രിപ്ഷന് ശേഷം TUN പാതയിൽ ആന്തരിക IP പാക്കറ്റ് അതിന്റെ അഡ്രസ്സിംഗും പോർട്ടുകളും സഹിതം ലഭ്യമാണ്, ബ്രാഞ്ച് ഫ്രെയിം ഇല്ലാതെ. അതിനാൽ ഒരേ ഫ്ലോയുടെ ട്രങ്ക് ക്യാപ്ചറും റൂട്ടഡ് ക്യാപ്ചറും രണ്ട് വ്യത്യസ്ത സംഭാഷണങ്ങൾ പോലെ തോന്നുന്നു.

ആ മൂന്ന് സ്ഥാനങ്ങൾ മൂന്ന് വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, ഒരു ക്യാപ്ചർ ഒരേ സമയം മൂന്നും ആകാൻ കഴിയില്ല.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

ജോടി പ്രവർത്തിപ്പിച്ച് താരതമ്യം ചെയ്യുക. ആദ്യത്തേത് ബ്രാഞ്ച് ലിങ്ക് ഹോസ്റ്റിലേക്ക് ട്രങ്ക് ചെയ്തിരിക്കുന്നിടത്ത് ടാഗ് ചെയ്ത ഫ്രെയിമുകളും അവയുടെ VLAN ID കളും കാണിക്കുന്നു; രണ്ടാമത്തേത് റൂട്ടിംഗിന് ശേഷം അതേ സംഭാഷണം സാധാരണ IP ആയി കാണിക്കുന്നു. ആദ്യത്തേത് ഒന്നും തിരികെ നൽകുന്നില്ലെങ്കിൽ, ഹോസ്റ്റ് പോർട്ട് ആക്സസ് പോർട്ട് ആണോ എന്ന് പരിശോധിക്കുക, കാരണം അപ്പോൾ സ്വിച്ച് ടാഗ് ഇതിനകം നീക്കം ചെയ്തിട്ടുണ്ട്, ഹോസ്റ്റിലെ ഒരു ക്യാപ്ചറും അത് ഒരിക്കലും കാണിക്കില്ല.

കാണാതായ ടാഗ് നിങ്ങൾക്ക് ന്യായീകരിക്കാവുന്ന മാപ്പിംഗ് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുക

സെഗ്മെന്റുകളെ IP പ്രിഫിക്സ് ഉപയോഗിച്ച് നയം വേർതിരിക്കുന്നുവെങ്കിൽ, ആ മാപ്പിംഗ് അതിന്റെ പരിധികളോടെ എഴുതിവയ്ക്കുക. ഓവർലാപ്പിംഗ് വിലാസ ശ്രേണികൾ, സോഴ്സ് വിവർത്തനം, പങ്കിട്ട ഗേറ്റ്വേ എന്നിവ ഓരോന്നും പാക്കറ്റ് യഥാർത്ഥത്തിൽ എവിടെ നിന്ന് വന്നു എന്ന് തിരിച്ചറിയാൻ ഒരു പ്രിഫിക്സ് മാത്രം മതിയാകാത്തതാക്കാം.

നിങ്ങൾ നിയന്ത്രിക്കുന്ന ഇന്റർഫേസിലും റൂട്ടിംഗ് സന്ദർഭത്തിലും വിശ്വസിക്കുക, ക്ലയന്റ് നൽകുന്ന ലേബലിൽ അല്ല. പിയർ സജ്ജമാക്കാവുന്ന ഹെഡർ ഫീൽഡ് അംഗത്വത്തിന്റെ തെളിവല്ല, അതിനെ അങ്ങനെ കാണുന്ന പരിശോധനാ നിയമം എളുപ്പത്തിൽ ഒഴിവാക്കാം.

ip route get 10.20.30.40
ip -br addr show

ആദ്യ കമാൻഡ് കെർണൽ ഒരു ലക്ഷ്യത്തിന് ഉപയോഗിക്കുന്ന ഇന്റർഫേസും സ്രോതസ്സും റിപ്പോർട്ട് ചെയ്യുന്നു, അത് സെഗ്മെന്റ് ബന്ധത്തിന്റെ പ്രാദേശിക കാഴ്ചയാണ്. രണ്ടാമത്തേത് ഓരോ ഇന്റർഫേസിലെയും വിലാസങ്ങൾ ലിസ്റ്റ് ചെയ്യുന്നു, അതിനാൽ നിങ്ങളുടെ മാപ്പിംഗിലെ പ്രിഫിക്സുകൾ ഡയഗ്രാമിനെക്കാൾ യാഥാർത്ഥ്യവുമായി പരിശോധിക്കാം.

ഫലം വിശ്വസിക്കുന്നതിന് മുമ്പ് മടക്ക പാതയും പേലോഡും പരിശോധിക്കുക

ഒരു ദിശ മാത്രം കാണുന്ന പരിശോധനാ പോയിന്റ് സംഭാഷണത്തിന്റെ പകുതി നഷ്ടപ്പെടുത്തും, VPN ഉൾപ്പെടുമ്പോൾ അസമമായ റൂട്ടിംഗ് സാധാരണമാണ്. ഏകപക്ഷീയമായ ക്യാപ്ചർ പൂർണ്ണമായി കണക്കാക്കുന്നതിന് മുമ്പ് മറുപടികൾ അതേ സെൻസറിലൂടെ കടന്നുപോകുന്നുവെന്ന് ഉറപ്പാക്കുക.

ആന്തരിക IP പാക്കറ്റ് വീണ്ടെടുക്കുന്നത് അതിനുള്ളിലെ HTTPS സെഷൻ ഡീക്രിപ്റ്റ് ചെയ്യുന്നില്ല. നയത്തിന്റെ ചോദ്യം ഫ്ലോകളെക്കാൾ ഉള്ളടക്കത്തെക്കുറിച്ചാണെങ്കിൽ, സെൻസർ സ്ഥാനം വീണ്ടും മാറ്റണം, ആ തീരുമാനം അതേ രൂപകൽപ്പന രേഖയുടേതാണ്.

VLAN ഫീൽഡ് കാണിക്കാൻ മാത്രം പരിധിയില്ലാത്ത ട്രങ്ക് സെൻസർ വരെ നീട്ടുന്നത് യഥാർത്ഥ ചോദ്യത്തിന് ഉത്തരം നൽകാതെ നെറ്റ്വർക്ക് അതിർത്തി വിശാലമാക്കുന്നു. നയത്തിന് ആവശ്യമായ വിവരത്തിന് സ്ഥാനം തിരഞ്ഞെടുക്കുക, അതിന് കാണാൻ കഴിയാത്തത് രേഖപ്പെടുത്തുക, ചോദ്യം മാറുമ്പോൾ തിരഞ്ഞെടുപ്പ് പുനഃപരിശോധിക്കുക.