Waarom een capture in een gerouteerde VPN nooit de VLAN-tag van de vestiging toont

Captures op de tunnelinterface zullen nooit de VLAN-ID van de vestiging tonen, en dat is een eigenschap van het ontwerp en niet een gat in de tool. Een gerouteerde TUN-tunnel vervoert IP-pakketten, dus het getagde Ethernet-frame dat ze op de vestigingslink droeg, eindigt bij de router die ze routeerde. Als uw beleidsvraag over segmenten gaat, moet de sensorpositie voor die vraag worden gekozen voordat de capture begint. Het VLAN-veld dat u verwachtte, moet worden vervangen door context die u kunt verdedigen.

Kijk wat de tunnelinterface werkelijk vervoert

TUN levert IP-pakketten aan de host; TAP levert Ethernet-frames. Een gerouteerd ontwerp gebruikt het eerste, wat betekent dat het pakket dat na ontsleuteling aankomt helemaal geen linklaagheader heeft, en dus geen 802.1Q-tag om te lezen. Onderweg is niets gestript, omdat de tag nooit de tunnel binnenkwam. Het binnenste pakket begint bij zijn IP-header, dus elk veld dat een VLAN-bewuste regel verwacht, ontbreekt simpelweg.

Bevestig het interfacetype voordat u over de capture discussieert, want een TAP-apparaat in dezelfde uitrol gedraagt zich anders en leidt tot de verkeerde conclusie.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

De eerste opdracht drukt het apparaattype en zijn vlaggen af. De tweede drukt linklaagheaders af voor de eerste twintig pakketten, en op een TUN-apparaat begint de uitvoer bij IP zonder Ethernet-blok, wat de hele verklaring op één scherm is.

TAP kiezen herstelt de tag ook niet. Een TAP-apparaat geeft frames door aan een bridge, en wat er met de tag gebeurt, hangt af van de VLAN-filtering van de bridge en het geconfigureerde lidmaatschap van de poort. Dat is een aparte ontwerpbeslissing met eigen faalmodi.

Ga op een van drie plaatsen staan en accepteer wat die kan zien

Op het Ethernet-segment van de vestiging is de tag aanwezig, maar de sensor ziet alleen lokaal verkeer op dat segment. Op het buitenste VPN-netwerk is het verkeer beschermd, dus een waarnemer leert eindpunten en volume en niets over het binnenste pakket. Op het TUN-pad na ontsleuteling is het binnenste IP-pakket beschikbaar, met zijn adressering en poorten, en zonder het frame van de vestiging. Daarom lijken een capture op een trunk en een gerouteerde capture van dezelfde stroom op twee verschillende gesprekken.

Die drie posities beantwoorden drie verschillende vragen, en één capture kan niet allemaal tegelijk zijn.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Voer het paar uit en vergelijk. De eerste toont getagde frames en hun VLAN-ID's waar de vestigingslink naar de host is getrunkt; de tweede toont hetzelfde gesprek als gewone IP na routering. Als de eerste niets teruggeeft, controleer dan of de hostpoort een access-poort is, want dan is de tag al door de switch verwijderd en geen enkele capture op de host zal die ooit tonen.

Vervang de ontbrekende tag door een toewijzing die u kunt verdedigen

Als beleid segmenten onderscheidt op IP-prefix, schrijf die toewijzing dan op samen met de grenzen. Overlappende adresbereiken, brontranslatie en een gedeelde gateway kunnen elk één prefix onvoldoende maken om te bepalen waar een pakket werkelijk vandaan kwam.

Vertrouw het interface- en routeringscontext die u beheert, niet op een label dat de client levert. Een headerveld dat een peer kan instellen is geen bewijs van lidmaatschap, en een inspectieregel die het als zodanig behandelt, is triviaal te omzeilen.

ip route get 10.20.30.40
ip -br addr show

De eerste opdracht meldt de interface en bron die de kernel voor een bestemming zou gebruiken, wat de lokale weergave van segmentaanhechting is. De tweede vermeldt adressen per interface, zodat de prefixen in uw toewijzing tegen de werkelijkheid in plaats van tegen het diagram kunnen worden gecontroleerd.

Controleer het retourpad en de payload voordat u het resultaat vertrouwt

Een inspectiepunt dat slechts één richting ziet, mist de helft van het gesprek, en asymmetrische routering is gebruikelijk zodra een VPN in het spel is. Bevestig dat antwoorden dezelfde sensor passeren voordat u een eenzijdige capture als compleet beschouwt.

Het herstellen van het binnenste IP-pakket ontsleutelt ook geen HTTPS-sessie erin. Als de beleidsvraag over inhoud in plaats van stromen gaat, moet de sensorpositie opnieuw verschuiven, en die beslissing hoort bij hetzelfde ontwerpdocument.

Een onbeperkte trunk naar een sensor verlengen alleen om een VLAN-veld te laten verschijnen, vergroot de netwerkgrens zonder de oorspronkelijke vraag te beantwoorden. Kies de positie voor de informatie die het beleid nodig heeft, noteer wat die niet kan zien, en herzie de keuze wanneer de vraag verandert.