तुमचा VPN सेन्सर शाखेचा VLAN टॅग कधीच का पाहत नाही
राउटेड टनेल पॅकेट परत मिळवते, ती वाहून नेणारे फ्रेम नाही. इंटरफेस प्रकार, सेन्सरचे स्थान, स्रोत संदर्भ आणि प्रतिसाद मार्ग यावर चार तपासण्या.
VPN बाजूचा सेन्सर दोन शाखा VLAN ला साधना IP रहदारी म्हणून पाहतो, आणि प्रत्येक शाखेला तिच्या स्वतःच्या तारेवर ओळखणारा टॅग गायब झाला आहे। राउटेड टनेल नेमके हेच करते: ते पॅकेट परत मिळवते, ती पोहोचवणारे Ethernet फ्रेम नाही। गहाळ टॅग महत्त्वाचा आहे की नाही हे तुम्ही सेन्सरला विचारलेल्या प्रश्नावर पूर्णपणे अवलंबून आहे। खालील चार तपासण्या क्रमाने करा आणि कोणता निरीक्षण बिंदू त्याला उत्तर देऊ शकतो हे तुम्हाला कळेल।
प्रथम: तुमचे टनेल काय परत मिळवते ते निश्चित करा
TUN इंटरफेस IP पॅकेट वाहून नेतो, त्यामुळे शाखेच्या फ्रेमचे VLAN हेडर रहदारी टनेलमध्ये ढकलणाऱ्या राउटरवर थांबते। TAP इंटरफेस Ethernet फ्रेम वाहून नेतो, याचा अर्थ पूल आणि VLAN प्रवेश नियमांनी परवानगी दिल्यास टॅग टिकू शकतात। कॅप्चरमध्ये काय असावे याचा विचार करण्यापूर्वी इंटरफेसचा प्रकार वाचा।
दोन्हीपैकी कोणताही पर्याय दोष नाही। दोन्ही रचना वेगवेगळ्या प्रश्नांना उत्तर देतात आणि टॅग वेगवेगळ्या ठिकाणी सोडतात।
उत्पादनाच्या नावावरून अंदाज करण्याऐवजी इंटरफेस स्वतः पुष्टी करा। लिंकचे तपशील उपकरणाचा प्रकार सांगतात आणि लागू असलेले फ्लॅग दाखवतात, आणि TUN उपकरणावर घेतलेले कॅप्चर फक्त तुम्ही मागितले म्हणून Ethernet हेडर मिळवणार नाही। TUN कॅप्चरमध्ये टॅग दिसले तर तुम्ही जवळजवळ निश्चितपणे दुसरा इंटरफेस किंवा त्याच्या पेलोडमध्ये फ्रेम वाहून नेणारे टनेल वाचत आहात। पुढे जाण्यापूर्वी तुम्ही कोणत्या स्थितीत आहात ते नोंदवा।
दुसरे: वस्तू अजून असलेल्या ठिकाणी सेन्सर ठेवा
तीन स्थाने बहुतेक राउटेड रचना व्यापतात: शाखेचा Ethernet विभाग, टनेलच्या टोकांमधील बाह्य नेटवर्क, आणि टनेल प्रक्रियेनंतरचा मार्ग। प्रत्येक वेगळी वस्तू पाहते, आणि टॅग फक्त पहिल्यामध्ये असतो। सेन्सरचे स्थान निवडणे हे धोरणाला कोणती वस्तू हवी याचा निर्णय आहे, सोयीचा प्रश्न नाही।
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
धोरणाचा प्रश्न तक्ता उत्तर देऊ शकेल अशा शब्दांत विचारा, आणि तो सहसा स्वतःच सुटतो। पॅकेट कोणत्या शाखेतून आले हे नियमाला जाणून घ्यायचे असेल तर खालचे प्रीफिक्स मॅपिंग पुरेसे ठरू शकते, पण ते मॅपिंग अचूक आणि अस्पष्टता नसलेले असेपर्यंतच। फ्रेम कोणत्या पोर्टवर आले हे नियमाला जाणून घ्यायचे असेल तर तुम्हाला पहिले स्थान हवे, कारण खाली काहीही ते पुन्हा तयार करू शकत नाही। प्रश्नाऐवजी सवयीने ठेवलेले सेन्सरच हे कारण आहे की संघ अखेर रचनेने कधीच न वाहिलेले फील्ड मागू लागतात।
Ethernet वाहून नेणारे टनेल वेगळी रचना आहे आणि टोके काय जपतात किंवा पुन्हा लिहितात याची स्वतःची तपासणी आवश्यक आहे। फक्त TAP निवडल्याने ब्रिज, VLAN प्रवेश नियम किंवा तपासणी धोरण अजूनही ठरत नाही।
तिसरे: स्रोत संदर्भावर विश्वास ठेवण्याऐवजी तो कमवा
प्रत्येक शाखेसाठी एक पत्ता श्रेणी हा VLAN ओळखीचा नेहमीचा पर्याय आहे, आणि मॅपिंग एकास एक राहीपर्यंतच तो टिकतो। एकमेकांवर चढणारे प्रीफिक्स, भाषांतर आणि सामायिक गेटवे प्रत्येकी ती गृहितक रचनेचा नाही तर डेटा गुणवत्तेचा प्रश्न वाटेल अशा पद्धतीने मोडतात। मॅपिंग त्याच्या सीमांसह लिहा आणि दोन ओळींशी जुळणाऱ्या पॅकेटचे काय होते ते सांगा। दोन शाखांमध्ये दिसणारा प्रीफिक्स तुम्ही शोधता ती त्रुटी असावी, तुम्ही स्वीकारता ती नाणेफेक नाही।
क्लायंटने दिलेला संदर्भ सदस्यत्वाचा पुरावा नाही। ती एक दावा आहे, आणि तिचे स्थान दुसऱ्या स्तंभात आहे।
जिथे हा फरक महत्त्वाचा आहे तिथे तुमच्या नियंत्रणातील संयोग डेटा वापरा: कोणत्या टनेल उदाहरणाने कनेक्शन स्वीकारले, पॅकेट कोणत्या इंटरफेसवर आली, त्या सहकार्याबद्दल स्थानिक मार्ग तक्ता काय सांगतो। क्लायंटने दिलेले लेबल उपयुक्त सूचना आहे आणि अधिकृतीकरणासाठी निरुपयोगी इनपुट आहे। सेन्सरला स्वतःच्या बाजूने संयोग प्रस्थापित करता येत नसेल तर धोरणाला आत्मविश्वासू अंदाजाऐवजी व्यापक नियम हवा।
चौथे: प्रतिसाद मार्ग आणि डिक्रिप्शन काय चुकवते याची पुष्टी करा
फक्त एक दिशा पाहणारा सेन्सरही निरोगी दिसू शकतो, कारण विनंत्या वेळेवर येत राहतात। प्रतिसाद मार्ग स्पष्टपणे तपासा, आणि सर्वसाधारण पोहोचण्यासाठी नाही तर त्याच प्रवाहासाठी तपासा। अर्ध-द्विमुखी दृश्यमानता त्यातून तुम्ही काढता त्या प्रत्येक स्थिती-आधारित निष्कर्षात शांत अंतर होते।
आतील IP रहदारी परत मिळवणेही त्याच्या आतल्या अनुप्रयोगाला पाहण्यासारखे नाही, कारण टनेलवरून वाहून नेलेले TLS TLS च राहते।
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5ह्या दोन आदेश इंटरफेसच्या प्रश्नाचे उत्तर देतात आणि कॅप्चरमध्ये प्रत्यक्षात काय आहे ते दाखवतात, जे स्थापत्याबद्दल वाद घालण्यापेक्षा वेगवान आहे। तुमची रचना वापरते ते इंटरफेस नाव ठेवा आणि तुम्हाला महत्त्वाचा असलेला प्रवाह सक्रिय असताना कॅप्चर चालवा। TUN उपकरणावर टॅग दिसत नसल्यास, निष्कर्ष हा आहे की सेन्सरने डेटा गमावला नाही तर रचनेने ब्रिजऐवजी राउट केले। त्यानंतर टॅग दिसू शकेल अशा स्थानावर सेन्सर हलवा, किंवा सध्याचे स्थान सांभाळू शकेल अशा शब्दांत नियम पुन्हा लिहा।