Mengapa Sensor VPN Anda Tidak Pernah Melihat Tag VLAN Cawangan

Sensor di sebelah VPN melihat dua VLAN cawangan sebagai trafik IP biasa, dan tag yang mengenal pasti setiap cawangan pada wayarnya sendiri telah hilang. Itulah yang dilakukan tunnel berhalakan: ia memulihkan paket, bukan rangka Ethernet yang menyampaikannya. Sama ada tag yang hilang itu penting bergantung sepenuhnya pada soalan yang anda ajukan kepada sensor. Lakukan empat pemeriksaan di bawah mengikut urutan dan anda akan tahu titik pemerhatian mana yang boleh menjawabnya.

Pertama: tetapkan apa yang dipulihkan oleh tunnel anda

Antara muka TUN membawa paket IP, jadi pengepala VLAN rangka cawangan berhenti di penghala yang menolak trafik itu ke dalam tunnel. Antara muka TAP membawa rangka Ethernet, yang bermaksud tag boleh bertahan apabila jambatan dan peraturan kemasukan VLAN membenarkannya lalu. Baca jenis antara muka sebelum menaakul apa yang sepatutnya terkandung dalam tangkapan.

Tiada satu pun pilihan itu merupakan kecacatan. Kedua-dua reka bentuk menjawab soalan berbeza dan meninggalkan tag di tempat berbeza.

Sahkan antara muka itu sendiri dan bukannya membuat kesimpulan daripada nama produk. Butiran pautan menyebut jenis peranti dan menunjukkan bendera yang berkuat kuasa, dan tangkapan yang diambil pada peranti TUN tidak akan memperoleh pengepala Ethernet hanya kerana anda memintanya. Jika tag tetap muncul dalam tangkapan TUN, hampir pasti anda membaca antara muka lain atau tunnel yang membawa rangka di dalam muatannya. Catat dalam kes yang mana anda berada sebelum meneruskan.

Kedua: letakkan sensor di tempat objek itu masih wujud

Tiga kedudukan meliputi kebanyakan reka bentuk berhalakan: segmen Ethernet cawangan, rangkaian luar antara hujung tunnel, dan laluan selepas pemprosesan tunnel. Setiap satu melihat objek berbeza, dan tag hanya wujud pada yang pertama. Memilih kedudukan sensor ialah keputusan tentang objek mana yang diperlukan oleh dasar, bukan soal keselesaan.

Ajukan soalan dasar dalam istilah yang boleh dijawab oleh jadual, dan ia biasanya selesai sendiri. Jika peraturan perlu tahu dari cawangan mana sesuatu paket datang, pemetaan awalan di hilir mungkin mencukupi, tetapi hanya selagi pemetaan itu tepat dan tidak kabur. Jika peraturan perlu tahu pada port mana rangka itu tiba, anda memerlukan kedudukan pertama, kerana tiada apa di hilir boleh membinanya semula. Sensor yang diletakkan kerana kebiasaan dan bukan kerana soalan ialah cara pasukan akhirnya menuntut medan yang tidak pernah dibawa oleh reka bentuk.

Tunnel yang membawa Ethernet ialah reka bentuk berbeza dan memerlukan pemeriksaannya sendiri tentang apa yang dikekalkan atau ditulis semula oleh hujungnya. Memilih TAP sahaja masih tidak mentakrifkan jambatan, peraturan kemasukan VLAN atau dasar pemeriksaan.

Ketiga: peroleh konteks sumber dan bukannya mempercayainya

Satu julat alamat bagi setiap cawangan ialah pengganti biasa bagi identiti VLAN, dan ia hanya bertahan selagi pemetaan kekal satu lawan satu. Awalan yang bertindih, terjemahan dan get laluan dikongsi masing-masing memecahkan andaian itu dengan cara yang kelihatan seperti masalah kualiti data dan bukan masalah reka bentuk. Tuliskan pemetaan itu berserta sempadannya dan katakan apa yang berlaku kepada paket yang sepadan dengan dua baris. Awalan yang muncul dalam dua cawangan sepatutnya menjadi ralat yang anda kesan, bukan lambungan syiling yang anda terima.

Konteks yang dibekalkan klien bukan bukti keahlian. Ia satu dakwaan, dan tempatnya dalam lajur lain.

Di tempat perbezaan itu penting, gunakan data persekutuan yang anda kawal: contoh tunnel mana yang menerima sambungan, antara muka mana paket tiba, apa yang dikatakan jadual laluan setempat tentang rakan itu. Label yang dibekalkan klien ialah petunjuk berguna dan input kebenaran yang tidak berguna. Jika sensor tidak dapat menetapkan persekutuan dari sisinya sendiri, dasar memerlukan peraturan yang lebih luas dan bukannya agakan yang yakin.

Keempat: sahkan laluan balasan dan apa yang terlepas daripada penyahsulitan

Sensor yang hanya melihat satu arah masih boleh kelihatan sihat, kerana permintaan terus tiba mengikut jadual. Periksa laluan balasan secara jelas, dan periksa untuk aliran yang sama dan bukan untuk kebolehcapaian umum. Kebolehlihatan separa dupleks menjadi jurang senyap dalam setiap kesimpulan berasaskan keadaan yang anda tarik daripadanya.

Memulihkan trafik IP dalaman juga bukan sama dengan melihat aplikasi di dalamnya, kerana TLS yang dibawa melalui tunnel kekal TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Kedua-dua arahan itu menjawab soalan antara muka dan menunjukkan apa yang sebenarnya terkandung dalam tangkapan, yang lebih pantas daripada berdebat tentang seni bina. Gantikan nama antara muka yang digunakan oleh reka bentuk anda dan jalankan tangkapan semasa aliran yang anda pedulikan aktif. Apabila tiada tag muncul pada peranti TUN, dapatan ialah reka bentuk itu menghalakan dan bukan menjambatani, bukan bahawa sensor menggugurkan data. Kemudian sama ada pindahkan sensor ke kedudukan yang boleh melihat tag, atau tulis semula peraturan dalam istilah yang boleh disokong oleh kedudukan semasa.