Għaliex qabda ta’ VPN bir-routing qatt ma turi t-tikketta VLAN tal-fergħa

Il-qabdiet meħuda fuq l-interfaċċa tat-tunnel qatt mhu se juru l-ID tal-VLAN tal-fergħa, u din hija proprjetà tad-disinn u mhux lakuna fl-għodda. Tunnel TUN bir-routing iġorr pakketti IP, għalhekk il-frejm Ethernet bit-tikketta li ġarrihom fuq il-ħolqa tal-fergħa jispiċċa fir-router li rrotta lilhom. Jekk il-mistoqsija tal-politika tiegħek hija dwar segmenti, il-pożizzjoni tas-sensor trid tintgħażel għal dik il-mistoqsija qabel ma tibda l-qabda. Il-qasam VLAN li kont qed tistenna jrid jiġi sostitwit b’kuntest li tista’ tiddefendi.

Ħares lejn x’iġorr tassew l-interfaċċa tat-tunnel

TUN iwassal il-pakketti IP lill-host; TAP iwassal il-frejms Ethernet. Disinn bir-routing juża l-ewwel wieħed, li jfisser li l-pakkett li jasal wara d-deċifrar m’għandux header tas-saff tal-ħolqa xejn, u għalhekk m’għandux tikketta 802.1Q x’jaqra. Xejn ma tneħħa fil-mogħdija, għax it-tikketta qatt ma daħlet fit-tunnel. Il-pakkett ta’ ġewwa jibda mill-header IP tiegħu, għalhekk kull qasam li jistenna regola konxja tal-VLAN sempliċement ma jeżistix.

Ikkonferma t-tip tal-interfaċċa qabel ma targumenta dwar il-qabda, għax apparat TAP fl-istess implimentazzjoni jġib ruħu b’mod differenti u jwassal għall-konklużjoni żbaljata.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

L-ewwel kmand jistampa t-tip tal-apparat u l-bnadar tiegħu. It-tieni jistampa l-headers tas-saff tal-ħolqa għall-ewwel għoxrin pakkett, u fuq apparat TUN il-ħruġ jibda mill-IP mingħajr blokka Ethernet, li hija l-ispjegazzjoni kollha fuq skrin wieħed.

L-għażla ta’ TAP lanqas ma terġa’ ġġib it-tikketta. Apparat TAP jgħaddi l-frejms lil pont, u x’jiġri mit-tikketta jiddependi mill-filtrazzjoni VLAN tal-pont u mill-membrija konfigurata tal-port. Din hija deċiżjoni tad-disinn separata bil-modi ta’ falliment tagħha stess.

Ieqaf f’wieħed minn tliet postijiet u aċċetta dak li jista’ jara

Fuq is-segment Ethernet tal-fergħa t-tikketta hemm, imma s-sensor jara biss traffiku lokali fuq dak is-segment. Fuq in-netwerk VPN ta’ barra it-traffiku huwa protett, għalhekk osservatur jitgħallem il-punti tat-tarf u l-volum u xejn dwar il-pakkett ta’ ġewwa. Fil-mogħdija TUN wara d-deċifrar il-pakkett IP ta’ ġewwa huwa disponibbli, bl-indirizzar u l-ports tiegħu, u mingħajr il-frejm tal-fergħa. Għalhekk qabda fuq trunk u qabda bir-routing tal-istess fluss jidhru bħala żewġ konverżazzjonijiet differenti.

Dawk it-tliet pożizzjonijiet iwieġbu għal tliet mistoqsijiet differenti, u qabda waħda ma tistax tkun it-tlieta kollha f’daqqa.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Ħaddem il-par u qabbel. L-ewwel turi frejms bit-tikketta u l-ID tal-VLAN tagħhom fejn il-ħolqa tal-fergħa hija trunk lejn il-host; it-tieni turi l-istess konverżazzjoni bħala IP sempliċi wara r-routing. Jekk l-ewwel ma jrodd xejn, iċċekkja jekk il-port tal-host huwiex port ta’ aċċess, għax imbagħad it-tikketta tkun diġà tneħħiet mis-switch u l-ebda qabda fuq il-host qatt mhu se turiha.

Ibdel it-tikketta nieqsa b’mappa li tista’ tiddefendi

Jekk il-politika tiddistingwi segmenti bil-prefiss IP, ikteb dik il-mappa flimkien mal-limiti tagħha. Firxiet ta’ indirizzi li jikkoinċidu, traduzzjoni tas-sors u gateway kondiviż kull wieħed jista’ jagħmel prefiss wieħed insuffiċjenti biex jiġi identifikat minn fejn pakkett verament ġie.

Afda fl-interfaċċa u fil-kuntest tar-routing li tikkontrolla, mhux f’tikketta li tipprovdi l-klijent. Qasam tal-header li peer jista’ jistabbilixxi mhuwiex prova ta’ membrija, u regola ta’ spezzjoni li tittrattah bħala tali tiġi evitata b’mod triviali.

ip route get 10.20.30.40
ip -br addr show

L-ewwel kmand jirrapporta l-interfaċċa u s-sors li l-qalba tuża għal destinazzjoni, li hija l-veduta lokali tal-irbit mas-segment. It-tieni jelenka l-indirizzi kull interfaċċa sabiex il-prefissi fil-mappa tiegħek jistgħu jiġu vverifikati mar-realtà u mhux mad-dijagramma.

Ivverifika l-mogħdija lura u l-payload qabel ma tafda r-riżultat

Punt ta’ spezzjoni li jara direzzjoni waħda biss jitlef nofs il-konverżazzjoni, u r-routing asimmetriku huwa komuni ladarba jkun involut VPN. Ikkonferma li t-tweġibiet jgħaddu mill-istess sensor qabel ma tqis qabda unilaterali bħala kompleta.

L-irkupru tal-pakkett IP ta’ ġewwa lanqas ma jiddeċifra sessjoni HTTPS ġo fih. Jekk il-mistoqsija tal-politika hija dwar il-kontenut u mhux il-flussi, il-pożizzjoni tas-sensor trid titmexxa mill-ġdid, u dik id-deċiżjoni tappartjeni għall-istess dokument tad-disinn.

L-estensjoni ta’ trunk mingħajr restrizzjoni sa sensor biss biex jidher qasam VLAN tkabbar il-fruntiera tan-netwerk mingħajr ma twieġeb il-mistoqsija oriġinali. Agħżel il-pożizzjoni għall-informazzjoni li teħtieġ il-politika, irreġistra dak li ma tistax tara, u erġa’ eżamina l-għażla meta tinbidel il-mistoqsija.