Mengapa rakaman VPN berpenghalaan tidak pernah menunjukkan tag VLAN cawangan

Rakaman yang diambil pada antara muka tunel tidak akan pernah menunjukkan ID VLAN cawangan, dan itu ialah sifat reka bentuk dan bukan kekurangan alat. Tunel TUN berpenghalaan membawa paket IP, jadi bingkai Ethernet bertag yang membawanya pada pautan cawangan berakhir di penghala yang menghalakannya. Jika soalan dasar anda tentang segmen, kedudukan penderia mesti dipilih untuk soalan itu sebelum rakaman bermula. Medan VLAN yang anda jangkakan mesti digantikan dengan konteks yang boleh anda pertahankan.

Lihat apa yang sebenarnya dibawa oleh antara muka tunel

TUN menyampaikan paket IP kepada hos; TAP menyampaikan bingkai Ethernet. Reka bentuk berpenghalaan menggunakan yang pertama, yang bermaksud paket yang tiba selepas penyahsulitan tidak mempunyai pengepala lapisan pautan sama sekali, dan oleh itu tiada tag 802.1Q untuk dibaca. Tiada apa-apa yang dilucutkan dalam perjalanan, kerana tag itu tidak pernah masuk ke dalam tunel. Paket dalaman bermula pada pengepala IPnya, jadi setiap medan yang dijangka oleh peraturan yang sedar VLAN sememangnya tiada.

Sahkan jenis antara muka sebelum berbahas tentang rakaman, kerana peranti TAP dalam penggunaan yang sama akan berkelakuan berbeza dan membawa kepada kesimpulan yang salah.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Perintah pertama mencetak jenis peranti dan benderanya. Perintah kedua mencetak pengepala lapisan pautan untuk dua puluh paket pertama, dan pada peranti TUN output bermula pada IP tanpa blok Ethernet, yang merupakan keseluruhan penjelasan dalam satu skrin.

Memilih TAP juga tidak memulihkan tag. Peranti TAP menyalurkan bingkai ke jambatan, dan apa yang berlaku kepada tag bergantung pada penapisan VLAN jambatan dan keahlian port yang dikonfigurasikan. Itu ialah keputusan reka bentuk berasingan dengan mod kegagalannya sendiri.

Berdiri di salah satu daripada tiga tempat dan terima apa yang boleh dilihatnya

Pada segmen Ethernet cawangan tag itu ada, tetapi penderia hanya melihat trafik tempatan pada segmen itu. Pada rangkaian VPN luar trafik dilindungi, jadi pemerhati mengetahui titik akhir dan volum dan tiada apa tentang paket dalaman. Pada laluan TUN selepas penyahsulitan paket IP dalaman tersedia, dengan pengalamatan dan portnya, dan tanpa bingkai cawangan. Oleh itu rakaman pada trunk dan rakaman berpenghalaan bagi aliran yang sama kelihatan seperti dua perbualan yang berbeza.

Ketiga-tiga kedudukan itu menjawab tiga soalan yang berbeza, dan satu rakaman tidak boleh menjadi kesemuanya sekali gus.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Jalankan pasangan itu dan bandingkan. Yang pertama menunjukkan bingkai bertag dan ID VLANnya di tempat pautan cawangan di-trunk ke hos; yang kedua menunjukkan perbualan yang sama sebagai IP biasa selepas penghalaan. Jika yang pertama tidak memulangkan apa-apa, semak sama ada port hos ialah port akses, kerana ketika itu tag sudah dibuang oleh suis dan tiada rakaman pada hos akan pernah menunjukkannya.

Gantikan tag yang hilang dengan pemetaan yang boleh anda pertahankan

Jika dasar membezakan segmen mengikut awalan IP, catatkan pemetaan itu bersama hadnya. Julat alamat yang bertindih, terjemahan sumber dan get laluan kongsi masing-masing boleh menjadikan satu awalan tidak mencukupi untuk mengenal pasti dari mana sesuatu paket benar-benar datang.

Percayai antara muka dan konteks penghalaan yang anda kawal, bukan label yang dibekalkan klien. Medan pengepala yang boleh ditetapkan oleh rakan sebaya bukan bukti keahlian, dan peraturan pemeriksaan yang menganggapnya begitu mudah dielakkan.

ip route get 10.20.30.40
ip -br addr show

Perintah pertama melaporkan antara muka dan sumber yang akan digunakan oleh kernel untuk sesuatu destinasi, iaitu pandangan tempatan tentang lekatan segmen. Perintah kedua menyenaraikan alamat bagi setiap antara muka supaya awalan dalam pemetaan anda boleh disemak terhadap realiti dan bukan terhadap rajah.

Semak laluan balik dan muatan sebelum mempercayai hasilnya

Titik pemeriksaan yang hanya melihat satu arah akan terlepas separuh perbualan, dan penghalaan tak simetri adalah lazim sebaik sahaja VPN terlibat. Sahkan bahawa balasan melalui penderia yang sama sebelum anda menganggap rakaman sebelah pihak sebagai lengkap.

Memulihkan paket IP dalaman juga tidak menyahsulit sesi HTTPS di dalamnya. Jika soalan dasar tentang kandungan dan bukan aliran, kedudukan penderia mesti beralih lagi, dan keputusan itu tergolong dalam dokumen reka bentuk yang sama.

Memanjangkan trunk tanpa had ke penderia hanya supaya medan VLAN muncul membesarkan sempadan rangkaian tanpa menjawab soalan asal. Pilih kedudukan untuk maklumat yang diperlukan oleh dasar, catat apa yang tidak dapat dilihatnya, dan semak semula pilihan itu apabila soalan berubah.