Таны VPN мэдрэгч салбарын VLAN шошгыг яагаад хэзээ ч хардаггүй вэ
Маршрутлагдсан туннель пакетуудыг сэргээдэг бөгөөд тэдгээрийг хүргэсэн кадруудыг биш. Интерфэйсийн төрөл, мэдрэгчийн байрлал, эх сурвалжийн контекст, хариултын зам дээр дөрвөн шалгалт.
VPN талын мэдрэгч хоёр салбарын VLAN-ыг энгийн IP урсгал гэж хардаг бөгөөд салбар бүрийг өөрийн утсан дээр тодорхойлж байсан шошго алга болсон. Маршрутлагдсан туннель яг үүнийг хийдэг: пакетуудыг сэргээдэг, тэдгээрийг хүргэсэн Ethernet кадруудыг биш. Алга болсон шошго чухал уу гэдэг нь мэдрэгчээс асуух асуултаас бүрэн хамаарна. Доорх дөрвөн шалгалтыг дарааллаар нь хийвэл аль ажиглалтын цэг түүнд хариулж чадахыг мэдэх болно.
Нэгдүгээрт: таны туннель юу сэргээдэгийг тодорхойл
TUN интерфэйс IP пакетуудыг зөөдөг, тиймээс салбарын кадрын VLAN толгой урсгалыг туннель руу түлхсэн маршрутлагч дээр зогсдог. TAP интерфэйс Ethernet кадруудыг зөөдөг, энэ нь гүүр болон VLAN-ыг нэвтрүүлэх дүрэм зөвшөөрвөл шошго амьд үлдэж болно гэсэн үг. Бичлэгт юу байх ёстойг бодохоос өмнө интерфэйсийн төрлийг унш.
Аль ч сонголт нь алдаа биш. Хоёр загвар өөр асуултад хариулж, шошгыг өөр өөр газарт үлдээдэг.
Интерфэйсийг бүтээгдэхүүний нэрээс таамаглахын оронд өөрөө баталгаажуул. Холболтын дэлгэрэнгүй мэдээлэл төхөөрөмжийн төрлийг нэрлэж, хүчин төгөлдөр тугнуудыг харуулдаг бөгөөд TUN төхөөрөмж дээр авсан бичлэг зөвхөн та хүссэн учраас Ethernet толгойтой болохгүй. Хэрэв TUN бичлэгт шошго гарч байвал та бараг л өөр интерфэйс эсвэл кадруудыг ачааны дотор зөөдөг туннелийг уншиж байна. Үргэлжлүүлэхийн өмнө ямар тохиолдолд байгаагаа тэмдэглэ.
Хоёрдугаарт: мэдрэгчийг объект одоо ч оршин байгаа газарт байрлуул
Гурван байрлал маршрутлагдсан загваруудын ихэнхийг хамардаг: салбарын Ethernet сегмент, туннелийн үзүүрүүдийн хоорондох гадаад сүлжээ, туннелийн боловсруулалтын дараах зам. Тус бүр өөр объектыг хардаг бөгөөд шошго зөвхөн эхнийх нь байдаг. Мэдрэгчийн байрлалыг сонгох нь бодлогод ямар объект хэрэгтэйг шийдэх асуудал бөгөөд тав тухын асуудал биш.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Бодлогын асуултыг хүснэгт хариулж чадах нэр томьёогоор тавь, тэгвэл ихэвчлэн өөрөө шийдэгддэг. Хэрэв дүрэм пакет аль салбараас ирснийг мэдэх шаардлагатай бол доорх угтварын зураглал хангалттай байж болох ч энэ зураглал үнэн зөв, олон утгагүй байх хугацаанд л. Хэрэв дүрэм кадр аль портод ирснийг мэдэх шаардлагатай бол эхний байрлал хэрэгтэй, учир нь доор юу ч үүнийг дахин бүтээж чадахгүй. Асуултаас биш дадлаас болж байрлуулсан мэдрэгч нь багууд загварын хэзээ ч зөөж байгаагүй талбарыг шаардаж эхлэх шалтгаан болдог.
Ethernet зөөдөг туннель өөр загвар бөгөөд үзүүрүүд юуг хадгалж, юуг дахин бичдэгийг өөрөө шалгах шаардлагатай. Зөвхөн TAP сонгох нь гүүр, VLAN-ыг нэвтрүүлэх дүрэм, шалгалтын бодлогыг тодорхойлохгүй хэвээр.
Гуравдугаарт: эх сурвалжийн контекстод итгэхийн оронд түүнийг олж ав
Салбар бүрд нэг хаягийн хүрээ байх нь VLAN таних тэмдгийн нийтлэг орлуулагч бөгөөд зураглал нэг нэгэндээ байх хугацаанд л хүчинтэй. Давхацсан угтвар, орчуулга, хамтарсан гарц тус бүр энэ таамаглалыг загварын бус, өгөгдлийн чанарын асуудал мэт харагдах байдлаар эвддэг. Зураглалыг хил хязгаартай нь бичиж, хоёр мөрөнд тохирох пакетод юу тохиолдохыг хэл. Хоёр салбарт гарч буй угтвар нь таны илрүүлэх алдаа байх ёстой, таны хүлээн зөвшөөрөх зоос шидэлт биш.
Клиентийн өгсөн контекст гишүүнчлэлийн баталгаа биш. Энэ бол мэдэгдэл бөгөөд түүний байр өөр баганад.
Ялгаа чухал газарт өөрийн хянадаг холбооны өгөгдлийг ашигла: аль туннелийн хувилбар холболтыг хүлээн авсан, пакетууд аль интерфэйсэд ирсэн, тухайн түнш тухай орон нутгийн маршрутын хүснэгт юу гэж хэлдэг. Клиентийн өгсөн шошго нь ашигтай сэжүүр бөгөөд зөвшөөрлийн оруулга болж чадахгүй. Хэрэв мэдрэгч холбоог өөрийн талаас тогтоож чадахгүй бол бодлогод итгэлтэй таамаглалын оронд илүү өргөн дүрэм хэрэгтэй.
Дөрөвдүгээрт: хариултын зам болон тайлалтын алдаж буй зүйлийг баталгаажуул
Зөвхөн нэг чиглэл хардаг мэдрэгч эрүүл харагдаж болно, учир нь хүсэлтүүд хуваарийн дагуу ирсээр байдаг. Хариултын замыг тодорхой шалга, мөн ерөнхий хүртээмжээр биш, ижил урсгалаар шалга. Хагас хоёр талт харагдах байдал нь түүнээс гаргах төлөвт суурилсан дүгнэлт бүрд чимээгүй цоорхой болдог.
Дотоод IP урсгалыг сэргээх нь доторх програмыг харахтай ижил биш, учир нь туннелиар зөөгдөж буй TLS нь TLS хэвээр байна.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Эдгээр хоёр команд интерфэйсийн асуултад хариулж, бичлэгт үнэхээр юу байгааг харуулдаг нь архитектурын тухай маргалдахаас хурдан. Загварын чинь ашигладаг интерфэйсийн нэрийг орлуулж, чамд чухал урсгал идэвхтэй үед бичлэгийг ажиллуул. TUN төхөөрөмж дээр ямар ч шошго гарахгүй бол дүгнэлт нь мэдрэгч өгөгдөл алдсан биш, загвар гүүр барихын оронд маршрутласан гэсэн үг. Дараа нь мэдрэгчийг шошгыг харж чадах байрлал руу зөө, эсвэл одоогийн байрлал дэмжиж чадах нэр томьёогоор дүрмийг дахин бич.