तपाईंको VPN सेन्सरले शाखाको VLAN ट्याग किन कहिल्यै देख्दैन
रुटेड टनेलले प्याकेट फर्काउँछ, ती बोकेका फ्रेम होइन। इन्टरफेस प्रकार, सेन्सरको स्थान, स्रोत सन्दर्भ र जवाफ मार्गमा चार जाँच।
VPN पट्टिको सेन्सरले दुई शाखा VLAN लाई साधारण IP ट्राफिकका रूपमा देख्छ, र प्रत्येक शाखालाई उसको आफ्नै तारमा चिनाउने ट्याग हराएको छ। रुटेड टनेलले यही गर्छ: यसले प्याकेट फर्काउँछ, ती पुर्याउने Ethernet फ्रेम होइन। हराएको ट्यागको महत्व छ कि छैन भन्ने पूर्ण रूपमा तपाईंले सेन्सरलाई सोध्ने प्रश्नमा निर्भर छ। तलका चार जाँच क्रममा गर्नुहोस् र कुन अवलोकन बिन्दुले त्यसको जवाफ दिन सक्छ भन्ने थाहा पाउनुहुनेछ।
पहिलो: तपाईंको टनेलले के फर्काउँछ त्यो निश्चित गर्नुहोस्
TUN इन्टरफेसले IP प्याकेट बोक्छ, त्यसैले शाखाको फ्रेमको VLAN हेडर ट्राफिकलाई टनेलमा धकेल्ने राउटरमा रोकिन्छ। TAP इन्टरफेसले Ethernet फ्रेम बोक्छ, जसको अर्थ पुल र VLAN प्रवेश नियमले पास हुन दिए ट्याग बाँच्न सक्छन्। क्याप्चरमा के हुनुपर्छ भन्ने सोच्नु अघि इन्टरफेसको प्रकार पढ्नुहोस्।
दुईमध्ये कुनै पनि विकल्प दोष होइन। दुवै डिजाइनले फरक प्रश्नको जवाफ दिन्छन् र ट्याग फरक ठाउँमा छोड्छन्।
उत्पादनको नामबाट अनुमान गर्नुको सट्टा इन्टरफेस आफैं पुष्टि गर्नुहोस्। लिङ्कको विवरणले उपकरणको प्रकार बताउँछ र लागू भएका झन्डाहरू देखाउँछ, र TUN उपकरणमा लिइएको क्याप्चरले तपाईंले माग्नुभयो भनेर मात्र Ethernet हेडर पाउँदैन। TUN क्याप्चरमा ट्याग देखिए भने तपाईं लगभग पक्कै अर्को इन्टरफेस वा आफ्नै पेलोडभित्र फ्रेम बोक्ने टनेल पढ्दै हुनुहुन्छ। अगाडि बढ्नु अघि तपाईं कुन अवस्थामा हुनुहुन्छ टिप्नुहोस्।
दोस्रो: वस्तु अझै भएको ठाउँमा सेन्सर राख्नुहोस्
तीन स्थानले अधिकांश रुटेड डिजाइन ढाक्छन्: शाखाको Ethernet खण्ड, टनेलका छेउहरूबीचको बाहिरी सञ्जाल, र टनेल प्रशोधनपछिको मार्ग। प्रत्येकले फरक वस्तु देख्छ, र ट्याग पहिलोमा मात्र हुन्छ। सेन्सरको स्थान छान्नु नीतिलाई कुन वस्तु चाहिन्छ भन्ने निर्णय हो, सुविधाको प्रश्न होइन।
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
नीतिको प्रश्न तालिकाले जवाफ दिन सक्ने शब्दमा सोध्नुहोस्, र त्यो प्रायः आफैं टुंगिन्छ। यदि नियमले प्याकेट कुन शाखाबाट आयो भन्ने जान्नुपर्छ भने, तलको प्रिफिक्स म्यापिङ पर्याप्त हुन सक्छ, तर त्यो म्यापिङ सही र अस्पष्टतारहित भएसम्म मात्र। यदि नियमले फ्रेम कुन पोर्टमा आयो भन्ने जान्नुपर्छ भने, तपाईंलाई पहिलो स्थान चाहिन्छ, किनकि तल कुनैले पनि त्यो पुनर्निर्माण गर्न सक्दैन। प्रश्नको सट्टा बानीले राखिएका सेन्सरले नै टोलीहरूलाई डिजाइनले कहिल्यै नबोकेको क्षेत्र माग्न लगाउँछ।
Ethernet बोक्ने टनेल फरक डिजाइन हो र छेउहरूले के सुरक्षित राख्छन् वा पुनर्लेखन गर्छन् भन्ने आफ्नै जाँच चाहिन्छ। केवल TAP छान्नाले अझै पुल, VLAN प्रवेश नियम वा निरीक्षण नीति परिभाषित गर्दैन।
तेस्रो: स्रोत सन्दर्भमा भरोसा गर्नुको सट्टा त्यो कमाउनुहोस्
प्रत्येक शाखाका लागि एक ठेगाना दायरा VLAN पहिचानको साधारण विकल्प हो, र म्यापिङ एक-एक रहेसम्म मात्र त्यो टिक्छ। अतिव्यापी प्रिफिक्स, अनुवाद र साझा गेटवेले प्रत्येकले त्यो अनुमानलाई डिजाइनको नभई डेटा गुणस्तरको समस्या देखिने तरिकाले तोड्छन्। म्यापिङलाई यसको सीमासहित लेख्नुहोस् र दुई पङ्क्तिसँग मिल्ने प्याकेटलाई के हुन्छ भन्नुहोस्। दुई शाखामा देखिने प्रिफिक्स तपाईंले पत्ता लगाउने त्रुटि हुनुपर्छ, तपाईंले स्वीकार गर्ने सिक्का उफार्ने होइन।
ग्राहकले दिएको सन्दर्भ सदस्यताको प्रमाण होइन। यो एक दाबी हो, र यसको स्थान अर्को स्तम्भमा छ।
जहाँ यो भिन्नता महत्वपूर्ण छ, त्यहाँ तपाईंको नियन्त्रणमा भएको सम्बन्धन डेटा प्रयोग गर्नुहोस्: कुन टनेल इन्स्ट्यान्सले जडान स्वीकार गरेको छ, प्याकेट कुन इन्टरफेसमा आए, स्थानीय रुट तालिकाले त्यो सहकर्मीबारे के भन्छ। ग्राहकले दिएको लेबल उपयोगी सङ्केत हो र प्राधिकरणका लागि निरर्थक इनपुट हो। यदि सेन्सरले आफ्नै पट्टिबाट सम्बन्धन स्थापित गर्न सक्दैन भने, नीतिलाई आत्मविश्वासी अनुमानको सट्टा फराकिलो नियम चाहिन्छ।
चौथो: जवाफ मार्ग र डिक्रिप्शनले के छुटाउँछ त्यो पुष्टि गर्नुहोस्
एउटा मात्र दिशा देख्ने सेन्सर पनि स्वस्थ देखिन सक्छ, किनकि अनुरोधहरू समयमै आइरहन्छन्। जवाफ मार्ग स्पष्ट रूपमा जाँच्नुहोस्, र सामान्य पहुँचका लागि होइन, त्यही प्रवाहका लागि जाँच्नुहोस्। अर्ध-द्विमुखी दृश्यता त्यसबाट तपाईंले निकाल्ने प्रत्येक अवस्था-आधारित निष्कर्षमा सन्नाटा खाल्डो बन्छ।
भित्री IP ट्राफिक फर्काउनु पनि भित्रको अनुप्रयोग देख्नु जस्तै होइन, किनकि टनेलमा बोकिएको TLS TLS नै रहन्छ।
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5ती दुई आदेशले इन्टरफेसको प्रश्नको जवाफ दिन्छन् र क्याप्चरमा वास्तवमा के छ देखाउँछन्, जुन वास्तुकलाबारे बहस गर्नुभन्दा छिटो हुन्छ। तपाईंको डिजाइनले प्रयोग गर्ने इन्टरफेस नाम राख्नुहोस् र तपाईंलाई महत्वपूर्ण प्रवाह सक्रिय हुँदा क्याप्चर चलाउनुहोस्। TUN उपकरणमा कुनै ट्याग देखिएन भने, निष्कर्ष यो हो कि सेन्सरले डेटा खसाल्यो होइन, डिजाइनले पुल बनाउनुको सट्टा रुट गरेको छ। त्यसपछि ट्याग देख्न सकिने स्थानमा सेन्सर सार्नुहोस्, वा वर्तमान स्थानले समर्थन गर्न सक्ने शब्दमा नियम पुनर्लेखन गर्नुहोस्।