राउटेड VPN क्याप्चरले शाखाको VLAN ट्याग किन कहिल्यै देखाउँदैन

सुरुङ इन्टरफेसमा लिइएका क्याप्चरले शाखाको VLAN ID कहिल्यै देखाउने छैनन्, र यो उपकरणको कमजोरी होइन, डिजाइनको विशेषता हो। राउटेड TUN सुरुङले IP प्याकेट बोक्छ, त्यसैले शाखा लिङ्कमा तिनलाई बोकेको ट्याग गरिएको Ethernet फ्रेम तिनलाई राउट गर्ने राउटरमै टुंगिन्छ। यदि तपाईंको नीतिको प्रश्न खण्डहरूको बारेमा हो भने, क्याप्चर सुरु हुनुअघि त्यही प्रश्नका लागि सेन्सरको स्थिति छान्नुपर्छ। तपाईंले अपेक्षा गरेको VLAN फिल्डलाई तपाईंले तर्क गर्न सक्ने सन्दर्भले प्रतिस्थापन गर्नुपर्छ।

सुरुङ इन्टरफेसले वास्तवमा के बोक्छ हेर्नुहोस्

TUN ले होस्टमा IP प्याकेट पुर्याउँछ; TAP ले Ethernet फ्रेम पुर्याउँछ। राउटेड डिजाइनले पहिलो प्रयोग गर्छ, अर्थात् डिक्रिप्शनपछि आउने प्याकेटमा लिङ्क-तह हेडर नै हुँदैन, र त्यसैले पढ्नको लागि कुनै 802.1Q ट्याग हुँदैन। बाटोमा केही हटाइएको थिएन, किनकि ट्याग कहिल्यै सुरुङमा प्रवेश गरेन। भित्री प्याकेट आफ्नो IP हेडरबाट सुरु हुन्छ, त्यसैले VLAN-सचेत नियमले अपेक्षा गर्ने हरेक फिल्ड केवल अनुपस्थित छ।

क्याप्चरबारे बहस गर्नुअघि इन्टरफेसको प्रकार पुष्टि गर्नुहोस्, किनकि त्यही तैनाथीमा रहेको TAP उपकरण फरक व्यवहार गर्नेछ र गलत निष्कर्षतर्फ लैजान्छ।

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

पहिलो आदेशले उपकरणको प्रकार र यसका झन्डाहरू छाप्छ। दोस्रोले पहिलो बीस प्याकेटका लिङ्क-तह हेडर छाप्छ, र TUN उपकरणमा आउटपुट Ethernet ब्लक बिना IP बाट सुरु हुन्छ, जुन एकै स्क्रिनमा पूरा व्याख्या हो।

TAP छान्दा पनि ट्याग फर्कँदैन। TAP उपकरणले फ्रेम पुलमा पठाउँछ, र ट्यागलाई के हुन्छ भन्ने पुलको VLAN फिल्टरिङ र पोर्टको कन्फिगर गरिएको सदस्यतामा निर्भर हुन्छ। यो आफ्नै असफलता मोड भएको छुट्टै डिजाइन निर्णय हो।

तीनमध्ये एक ठाउँमा उभिनुहोस् र यसले के देख्न सक्छ त्यो स्वीकार्नुहोस्

शाखाको Ethernet खण्डमा ट्याग हुन्छ, तर सेन्सरले त्यही खण्डको स्थानीय ट्राफिक मात्र देख्छ। बाहिरी VPN सञ्जालमा ट्राफिक सुरक्षित हुन्छ, त्यसैले अवलोकनकर्ताले अन्त्य बिन्दु र मात्रा मात्र थाहा पाउँछ र भित्री प्याकेटबारे केही पनि जान्दैन। डिक्रिप्शनपछि TUN मार्गमा भित्री IP प्याकेट यसको ठेगाना र पोर्टसहित उपलब्ध हुन्छ, र शाखाको फ्रेम बिना। त्यसैले एउटै प्रवाहको ट्रंकमा गरिएको क्याप्चर र राउटेड क्याप्चर दुई फरक कुराकानीजस्तो देखिन्छन्।

ती तीन स्थितिले तीन फरक प्रश्नको उत्तर दिन्छन्, र एउटा क्याप्चर एकैचोटि तीनवटै हुन सक्दैन।

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

जोडी चलाउनुहोस् र तुलना गर्नुहोस्। पहिलोले शाखा लिङ्क होस्टतिर ट्रंक भएको ठाउँमा ट्याग गरिएका फ्रेम र तिनका VLAN ID देखाउँछ; दोस्रोले राउटिङपछि त्यही कुराकानी साधारण IP को रूपमा देखाउँछ। पहिलोले केही पनि फर्काएन भने, होस्ट पोर्ट पहुँच पोर्ट हो कि होइन जाँच्नुहोस्, किनकि त्यतिबेला स्विचले ट्याग पहिले नै हटाइसकेको हुन्छ र होस्टमा कुनै पनि क्याप्चरले त्यो कहिल्यै देखाउने छैन।

हराएको ट्यागलाई तपाईंले तर्क गर्न सक्ने म्यापिङले बदल्नुहोस्

यदि नीतिले खण्डहरूलाई IP प्रिफिक्सद्वारा छुट्याउँछ भने, त्यो म्यापिङ यसका सीमासहित लेख्नुहोस्। ओभरल्यापिङ ठेगाना दायरा, स्रोत अनुवाद र साझा गेटवेले प्रत्येकले एउटा प्रिफिक्सलाई प्याकेट वास्तवमा कहाँबाट आयो भनी पहिचान गर्न अपर्याप्त बनाउन सक्छ।

तपाईंले नियन्त्रण गर्ने इन्टरफेस र राउटिङ सन्दर्भमा भरोसा गर्नुहोस्, क्लाइन्टले दिने लेबलमा होइन। पियरले सेट गर्न सक्ने हेडर फिल्ड सदस्यताको प्रमाण होइन, र त्यसलाई त्यस्तै मान्ने जाँच नियम सजिलै छल्न सकिन्छ।

ip route get 10.20.30.40
ip -br addr show

पहिलो आदेशले कर्नेलले कुनै गन्तव्यका लागि प्रयोग गर्ने इन्टरफेस र स्रोत रिपोर्ट गर्छ, जुन खण्डमा संलग्नताको स्थानीय दृश्य हो। दोस्रोले प्रत्येक इन्टरफेसका ठेगाना सूचीबद्ध गर्छ ताकि तपाईंको म्यापिङका प्रिफिक्सहरू रेखाचित्रसँग होइन, वास्तविकतासँग जाँच्न सकियोस्।

नतिजामा भरोसा गर्नुअघि फर्कने मार्ग र पेलोड जाँच्नुहोस्

एउटै दिशा मात्र देख्ने जाँच बिन्दुले आधा कुराकानी छुटाउनेछ, र VPN संलग्न भएपछि असममित राउटिङ सामान्य हुन्छ। एकतर्फी क्याप्चरलाई पूर्ण मान्नुअघि जवाफहरू एउटै सेन्सरबाट जान्छन् भनी पुष्टि गर्नुहोस्।

भित्री IP प्याकेट पुनःप्राप्त गर्दा यसभित्रको HTTPS सत्र पनि डिक्रिप्ट हुँदैन। यदि नीतिको प्रश्न प्रवाहभन्दा सामग्रीको बारेमा हो भने, सेन्सरको स्थिति फेरि सार्नुपर्छ, र त्यो निर्णय त्यही डिजाइन कागजातको हो।

केवल VLAN फिल्ड देखियोस् भनेर अप्रतिबन्धित ट्रंकलाई सेन्सरसम्म विस्तार गर्नुले मूल प्रश्नको उत्तर नदिई सञ्जालको सीमा ठूलो बनाउँछ। नीतिलाई आवश्यक जानकारीका लागि स्थिति छान्नुहोस्, यसले के देख्न सक्दैन त्यो टिपोट गर्नुहोस्, र प्रश्न बदलिँदा छनोट पुनरावलोकन गर्नुहोस्।