Чиглүүлсэн VPN-ийн бичлэг салбарын VLAN шошгыг яагаад хэзээ ч харуулдаггүй

Туннелийн интерфэйс дээр авсан бичлэгүүд салбарын VLAN ID-г хэзээ ч харуулахгүй бөгөөд энэ нь хэрэгслийн дутагдал биш харин загварын шинж чанар юм. Чиглүүлсэн TUN туннель IP пакетуудыг зөөдөг тул тэдгээрийг салбарын холбоос дээр зөөж байсан шошготой Ethernet хүрээ нь тэдгээрийг чиглүүлсэн чиглүүлэгч дээр дуусдаг. Хэрэв таны бодлогын асуулт сегментүүдийн тухай бол мэдрэгчийн байрлалыг бичлэг эхлэхээс өмнө тэр асуултад зориулж сонгох ёстой. Таны хүлээж байсан VLAN талбарыг та өөрөө хамгаалж чадах контекстээр солих ёстой.

Туннелийн интерфэйс үнэндээ юу зөөж байгааг хараарай

TUN нь IP пакетуудыг хост руу хүргэдэг; TAP нь Ethernet хүрээг хүргэдэг. Чиглүүлсэн загвар эхнийхийг ашигладаг бөгөөд энэ нь тайлахын дараа ирэх пакетэд холбоосын давхаргын толгой огт байхгүй, тиймээс унших 802.1Q шошго ч байхгүй гэсэн үг юм. Замд юу ч хасагдаагүй, учир нь шошго туннельд хэзээ ч орж ирээгүй. Дотоод пакет өөрийн IP толгойноос эхэлдэг тул VLAN-ыг мэддэг дүрэм хүлээж буй талбар бүр зүгээр л байхгүй.

Бичлэгийн талаар маргахаас өмнө интерфэйсийн төрлийг баталгаажуулаарай, учир нь ижил байршуулалт дахь TAP төхөөрөмж өөрөөр ажиллаж, буруу дүгнэлтэд хүргэнэ.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Эхний команд төхөөрөмжийн төрөл болон түүний тугнуудыг хэвлэнэ. Хоёр дахь нь эхний хорин пакетын холбоосын давхаргын толгойг хэвлэх бөгөөд TUN төхөөрөмж дээр гаралт нь Ethernet блокгүйгээр IP-ээс эхэлдэг бөгөөд энэ нь нэг дэлгэц дээрх бүх тайлбар юм.

TAP-ыг сонгох нь шошгыг сэргээхгүй. TAP төхөөрөмж хүрээг гүүр рүү дамжуулдаг бөгөөд шошгонд юу тохиолдох нь гүүрний VLAN шүүлтүүр болон портын тохируулсан гишүүнчлэлээс хамаарна. Энэ нь өөрийн гэсэн эвдрэлийн горимтой тусдаа загварын шийдвэр юм.

Гурван газрын аль нэгэнд зогсож, энэ нь юу харж чадахыг хүлээн зөвшөөрөөрэй

Салбарын Ethernet сегмент дээр шошго байгаа боловч мэдрэгч зөвхөн тэр сегментийн орон нутгийн урсгалыг хардаг. Гадаад VPN сүлжээнд урсгал хамгаалагдсан тул ажиглагч зөвхөн төгсгөлийн цэгүүд болон хэмжээг мэдэж, дотоод пакетын талаар юу ч мэдэхгүй. Тайлсны дараах TUN зам дээр дотоод IP пакет нь хаяг болон портуудын хамт боломжтой бөгөөд салбарын хүрээгүй байна. Тиймээс нэг урсгалын trunk дээрх бичлэг болон чиглүүлсэн бичлэг нь хоёр өөр яриа мэт харагдана.

Тэр гурван байрлал гурван өөр асуултад хариулдаг бөгөөд нэг бичлэг нэгэн зэрэг бүгд байж чадахгүй.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Хосыг ажиллуулж харьцуулаарай. Эхнийх нь салбарын холбоос хост руу trunk байгаа газарт шошготой хүрээ болон тэдгээрийн VLAN ID-г харуулна; хоёр дахь нь ижил яриаг чиглүүлсний дараа энгийн IP хэлбэрээр харуулна. Хэрэв эхнийх нь юу ч буцаахгүй бол хост порт нэвтрэх порт мөн эсэхийг шалгаарай, учир нь тэр үед шошгыг коммутатор аль хэдийн арилгасан бөгөөд хост дээрх ямар ч бичлэг үүнийг хэзээ ч харуулахгүй.

Алга болсон шошгыг та хамгаалж чадах буулгалтаар солино уу

Хэрэв бодлого сегментүүдийг IP угтвараар ялгадаг бол тэр буулгалтыг хязгаарынхаа хамт бичиж тэмдэглээрэй. Давхцсан хаягийн мужууд, эх сурвалжийн орчуулга болон хуваалцсан гарц тус бүр нь пакет үнэхээр хаанаас ирснийг тодорхойлоход нэг угтварыг хангалтгүй болгож болно.

Өөрийн хянаж буй интерфэйс болон чиглүүлэлтийн контекстод итгээрэй, клиентийн өгсөн шошгонд биш. Хамтрагчийн тохируулж болох толгойн талбар нь гишүүнчлэлийн баталгаа биш бөгөөд үүнийг тийм гэж үздэг шалгалтын дүрмийг тойрч гарахад хялбар.

ip route get 10.20.30.40
ip -br addr show

Эхний команд нь цөм ямар нэг чиглэлд ашиглах интерфэйс болон эх сурвалжийг мэдээлдэг бөгөөд энэ нь сегментэд холбогдсон байдлын орон нутгийн үзэл юм. Хоёр дахь нь интерфэйс тус бүрийн хаягүүдийг жагсаасан тул таны буулгалт дахь угтваруудыг диаграмтай бус бодит байдалтай тулгаж шалгаж болно.

Үр дүнд итгэхээс өмнө буцах зам болон ачааллыг шалгаарай

Зөвхөн нэг чиглэл хардаг шалгалтын цэг ярианы хагасыг алдах бөгөөд VPN оролцсоны дараа тэгш бус чиглүүлэлт түгээмэл байдаг. Нэг талын бичлэгийг бүрэн гэж үзэхээс өмнө хариултууд ижил мэдрэгчээр дамждаг эсэхийг баталгаажуулаарай.

Дотоод IP пакетыг сэргээх нь түүний доторх HTTPS сессийг тайлахгүй. Хэрэв бодлогын асуулт урсгалын тухай биш агуулгын тухай бол мэдрэгчийн байрлалыг дахин зөөх ёстой бөгөөд энэ шийдвэр мөн тэр загварын баримт бичигт хамаарна.

Зөвхөн VLAN талбар илрэхийн тулд хязгааргүй trunk-ыг мэдрэгч хүртэл сунгах нь анхны асуултад хариулэлгүйгээр сүлжээний хил хязгаарыг тэлдэг. Бодлогод шаардлагатай мэдээллийн байрлалыг сонгож, юу харж чадахгүйг нь бүртгэж, асуулт өөрчлөгдөхөд сонголтоо дахин хянаарай.