Għaliex is-Sensor VPN Tiegħek Qatt Ma Jara t-Tikketta VLAN tal-Ferqgħa

Sensor fuq in-naħa tal-VPN jara żewġ VLAN tal-ferqgħa bħala traffiku IP sempliċi, u t-tikketta li kienet tidentifika kull ferqgħa fuq il-wajer tagħha stess sparixxiet. Dan huwa dak li jagħmel tunnel irruttat: jirkupra l-pakketti, mhux il-frejms Ethernet li wassluhom. Jekk it-tikketta nieqsa għandhiex importanza jiddependi għal kollox mill-mistoqsija li tagħmel lis-sensor. Agħmel l-erba’ verifiki hawn taħt bl-ordni u tkun taf liema punt ta’ osservazzjoni jista’ jwieġeb għaliha.

L-ewwel: stabbilixxi x’jirkupra t-tunnel tiegħek

Interface TUN iġorr pakketti IP, għalhekk l-intestatura VLAN tal-frejm tal-ferqgħa tieqaf fir-router li mbotta t-traffiku fit-tunnel. Interface TAP iġorr frejms Ethernet, li jfisser li t-tikketta jistgħu jibqgħu ħajjin meta l-pont u r-regoli tad-dħul tal-VLAN iħalluhom jgħaddu. Aqra t-tip tal-interface qabel ma targumenta x’għandha tinkludi qabda.

L-ebda waħda miż-żewġ għażliet mhi difett. Iż-żewġ disinni jwieġbu mistoqsijiet differenti u jħallu t-tikketta f’postijiet differenti.

Ivverifika l-interface inti stess minflok tiddeduċiha mill-isem tal-prodott. Id-dettalji tal-ħolqa jsemmu t-tip tal-apparat u juru l-bnadar fis-seħħ, u qabda meħuda fuq apparat TUN mhux se tikseb intestatura Ethernet biss għax tlabtha. Jekk xorta waħda jidhru tikketta fi qabda TUN, kważi żgur li qed taqra interface ieħor jew tunnel li jġorr frejms ġewwa l-payload tiegħu. Innota f’liema każ tinsab qabel ma tkompli.

It-tieni: qiegħed is-sensor fejn l-oġġett għadu jeżisti

Tliet pożizzjonijiet ikopru l-biċċa l-kbira tad-disinni ruttati: is-segment Ethernet tal-ferqgħa, in-netwerk ta’ barra bejn it-truf tat-tunnel u l-mogħdija wara l-ipproċessar tat-tunnel. Kull waħda tara oġġett differenti, u t-tikketta teżisti biss fl-ewwel waħda. L-għażla ta’ pożizzjoni tas-sensor hija deċiżjoni dwar liema oġġett teħtieġ il-politika, mhux kwistjoni ta’ kumdità.

Staqsi l-mistoqsija tal-politika f’termini li l-tabella tista’ twieġeb, u s-soltu ssolvi ruħha. Jekk ir-regola teħtieġ tkun taf minn liema ferqgħa ġie pakket, il-mappatura tal-prefissi aktar ’il quddiem tista’ tkun biżżejjed, iżda biss sakemm dik il-mappatura tibqa’ preċiża u mhux ambigwa. Jekk ir-regola teħtieġ tkun taf f’liema port wasal il-frejm, għandek bżonn l-ewwel pożizzjoni, għax xejn aktar ’il quddiem ma jista’ jerġa’ jibnih. Sensors imqiegħda bid-drawwa minflok b’mistoqsija huma kif it-timijiet jispiċċaw jitolbu qasam li d-disinn qatt ma ġarr.

Tunnel li jġorr Ethernet huwa disinn differenti u jeħtieġ verifika tiegħu stess ta’ x’iħarsu jew jiktbu mill-ġdid it-truf. L-għażla ta’ TAP waħedha għadha ma tiddefinixxix il-pont, ir-regoli tad-dħul tal-VLAN jew il-politika tal-ispezzjoni.

It-tielet: akkwista l-kuntest tas-sors minflok tafdah

Firxa waħda ta’ indirizzi għal kull ferqgħa hija s-sostitut tas-soltu għall-identità VLAN, u tibqa’ valida biss sakemm il-mappatura tibqa’ waħda għal waħda. Prefissi li jikkoinċidu, traduzzjoni u gateway kondiviż kull wieħed ikisser dik is-suppożizzjoni b’mod li jidher problema tal-kwalità tad-data u mhux tad-disinn. Ikteb il-mappatura mal-fruntieri tagħha u għid x’jiġri minn pakket li jaqbel ma’ żewġ ringieli. Prefiss li jidher f’żewġ ferqgħat għandu jkun żball li tinduna bih, mhux tħatt t’munita li taċċetta.

Il-kuntest ipprovdut mill-klijent mhuwiex prova ta’ sħubija. Hija dikjarazzjoni, u postha f’kolonna oħra.

Fejn id-distinzjoni hija importanti, uża data tal-assoċjazzjoni li tikkontrolla: liema istanza tat-tunnel aċċettat il-konnessjoni, f’liema interface waslu l-pakketti, x’tgħid it-tabella tal-mogħdijiet lokali dwar dak il-pari. Tikketta pprovduta mill-klijent hija ħjiel utli u input ta’ awtorizzazzjoni inutli. Jekk is-sensor ma jistax jistabbilixxi l-assoċjazzjoni min-naħa tiegħu, il-politika teħtieġ regola usa’ minflok suppożizzjoni konfidenti.

Ir-raba’: ikkonferma l-mogħdija tar-risposta u x’jinjora d-deċifrar

Sensor li jara direzzjoni waħda biss xorta jista’ jidher b’saħħtu, għax it-talbiet jibqgħu jaslu fil-ħin. Ivverifika l-mogħdija tar-risposta b’mod espliċitu, u vverifikaha għall-istess fluss u mhux għall-aċċessibbiltà ġenerali. Il-viżibbiltà ta’ nofs duplex issir vojt sieket f’kull konklużjoni bbażata fuq l-istat li tislet minnha.

L-irkupru tat-traffiku IP intern lanqas mhu l-istess bħall-vista tal-applikazzjoni ġo fih, għax it-TLS li jinġarr fuq it-tunnel jibqa’ TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Dawk iż-żewġ kmandi jwieġbu l-mistoqsija tal-interface u juru x’fih tassew il-qabda, li huwa aktar mgħaġġel milli targumenta dwar l-arkitettura. Issostitwixxi l-isem tal-interface li juża d-disinn tiegħek u ħaddem il-qabda waqt li l-fluss li jinteressak huwa attiv. Meta ma jidhirx tikketta fuq apparat TUN, is-sejba hija li d-disinn irrutta minflok għamel pont, u mhux li s-sensor tilef data. Imbagħad jew iċċaqlaq is-sensor għal pożizzjoni li tista’ tara t-tikketta, jew erġa’ ikteb ir-regola f’termini li l-pożizzjoni attwali tista’ tappoġġja.