Kvifor ein opptakt i eit ruta VPN aldri viser VLAN-merket til filialen

Opptakt tekne på tunnelgrensesnittet vil aldri vise VLAN-ID-en til filialen, og det er ein eigenskap ved designet og ikkje eit hol i verktøyet. Ein ruta TUN-tunnel fraktar IP-pakkar, så den tagga Ethernet-ramma som bar dei på filiallenka, endar ved rutaren som ruta dei. Viss policy-spørsmålet ditt handlar om segment, må sensorposisjonen veljast for det spørsmålet før opptaket startar. VLAN-feltet du venta, må erstattast av kontekst du kan forsvare.

Sjå på kva tunnelgrensesnittet faktisk fraktar

TUN leverer IP-pakkar til verten; TAP leverer Ethernet-rammer. Eit ruta design brukar det første, som betyr at pakken som kjem etter dekryptering ikkje har nokon lenkjebandshovud i det heile, og derfor ingen 802.1Q-tagg å lese. Ingenting vart strippa undervegs, fordi taggen aldri kom inn i tunnelen. Den indre pakken byrjar ved IP-hovudet sitt, så kvart felt ein VLAN-medviten regel ventar, manglar rett og slett.

Stadfest grensesnitttypen før du diskuterer opptaket, sidan ein TAP-eining i same utrulling vil oppføre seg annleis og leie til feil konklusjon.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Den første kommandoen skriv ut einingstypen og flagga hans. Den andre skriv ut lenkjebandshovud for dei første tjue pakkane, og på ei TUN-eining byrjar utdata ved IP utan Ethernet-blokk, som er heile forklaringa på éin skjerm.

Å velje TAP gjenopprettar heller ikkje taggen. Ei TAP-eining sender rammer til ei bru, og kva som skjer med taggen avheng av VLAN-filtreringa til brua og det konfigurerte medlemskapet til porten. Det er ei eiga designavgjerd med eigne feilmodus.

Stå på ein av tre stader og godta kva han kan sjå

På Ethernet-segmentet til filialen er taggen til stades, men sensoren ser berre lokal trafikk på det segmentet. På det ytre VPN-nettet er trafikken verna, så ein observatør lærer endepunkt og volum og ingenting om den indre pakken. På TUN-bana etter dekryptering er den indre IP-pakken tilgjengeleg, med adressering og portar, og utan ramma til filialen. Derfor ser eit opptakt på ein trunk og eit ruta opptakt av same flyt ut som to ulike samtalar.

Desse tre posisjonane svarar på tre ulike spørsmål, og eitt opptakt kan ikkje vere alle samtidig.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Køyr paret og samanlikn. Det første viser tagga rammer og VLAN-ID-ane deira der filiallenka er trunka til verten; det andre viser den same samtalen som vanleg IP etter ruting. Viss det første ikkje returnerer noko i det heile, sjekk om vertsporten er ein tilgangsport, for då er taggen allereie fjerna av svitsjen og ingen opptakt på verten vil nokon gong vise han.

Erstatt den manglande taggen med ei tilordning du kan forsvare

Viss policyen skil segment etter IP-prefiks, skriv ned tilordninga saman med grensene. Overlappande adresseområde, kjeldeomsetjing og ein delt gateway kan kvar gjere eitt prefiks utilstrekkeleg til å identifisere kvar ein pakke faktisk kom frå.

Stol på grensesnittet og rutekonteksten du kontrollerer, ikkje på ein etikett klienten leverer. Eit hovudfelt ein peer kan setje, er ikkje prov på medlemskap, og ein inspeksjonsregel som handsamar det som det, blir trivielt omgått.

ip route get 10.20.30.40
ip -br addr show

Den første kommandoen rapporterer grensesnittet og kjelda kjernen ville bruke for ein destinasjon, som er den lokale visninga av segmenttilknyting. Den andre listar adresser per grensesnitt, slik at prefiksa i tilordninga kan kontrollerast mot røynda i staden for mot diagrammet.

Kontroller returvegen og nyttelasta før du stolar på resultatet

Eit inspeksjonspunkt som berre ser éin retning, vil miste halve samtalen, og asymmetrisk ruting er vanleg når ein VPN er involvert. Stadfest at svar passerer same sensor før du reknar eit einsidig opptakt som komplett.

Å gjenopprette den indre IP-pakken dekrypterer heller ikkje ein HTTPS-økt inni han. Viss policy-spørsmålet handlar om innhald i staden for flytar, må sensorposisjonen flyttast igjen, og den avgjerda høyrer til same designdokumentet.

Å forlengje ein ubegrensa trunk til ein sensor berre for å få eit VLAN-felt til å visast, utvidar nettverksgrensa utan å svare på det opphavlege spørsmålet. Vel posisjonen for informasjonen policyen treng, noter kva han ikkje kan sjå, og vurder valet på nytt når spørsmålet endrar seg.