Dlaczego zrzut w routowanym VPN nigdy nie pokazuje tagu VLAN oddziału

Zrzuty wykonane na interfejsie tunelu nigdy nie pokażą identyfikatora VLAN oddziału, i jest to cecha projektu, a nie luka w narzędziu. Routowany tunel TUN przenosi pakiety IP, więc oznaczona ramka Ethernet, która niosła je na łączu oddziału, kończy się na routerze, który je routował. Jeśli pytanie Twojej polityki dotyczy segmentów, pozycję czujnika trzeba wybrać dla tego pytania przed rozpoczęciem zrzutu. Pole VLAN, którego oczekiwałeś, musi zostać zastąpione kontekstem, którego możesz bronić.

Zobacz, co faktycznie przenosi interfejs tunelu

TUN dostarcza pakiety IP do hosta; TAP dostarcza ramki Ethernet. Projekt routowany używa pierwszego, co oznacza, że pakiet przychodzący po odszyfrowaniu nie ma w ogóle nagłówka warstwy łącza, a więc nie ma też tagu 802.1Q do odczytania. Nic nie zostało zdjęte po drodze, ponieważ tag nigdy nie wszedł do tunelu. Pakiet wewnętrzny zaczyna się od swojego nagłówka IP, więc każde pole, którego oczekuje reguła świadoma VLAN, po prostu nie istnieje.

Potwierdź typ interfejsu, zanim zaczniesz spierać się o zrzut, ponieważ urządzenie TAP w tym samym wdrożeniu zachowa się inaczej i doprowadzi do błędnego wniosku.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Pierwsze polecenie wypisuje typ urządzenia i jego flagi. Drugie wypisuje nagłówki warstwy łącza dla pierwszych dwudziestu pakietów, a na urządzeniu TUN dane wyjściowe zaczynają się od IP bez bloku Ethernet, co jest całym wyjaśnieniem na jednym ekranie.

Wybór TAP również nie przywraca tagu. Urządzenie TAP przekazuje ramki do mostu, a to, co dzieje się z tagiem, zależy od filtrowania VLAN mostu i skonfigurowanego członkostwa portu. To odrębna decyzja projektowa z własnymi trybami awarii.

Stań w jednym z trzech miejsc i zaakceptuj to, co może zobaczyć

W segmencie Ethernet oddziału tag jest obecny, ale czujnik widzi tylko lokalny ruch w tym segmencie. W zewnętrznej sieci VPN ruch jest chroniony, więc obserwator poznaje punkty końcowe i wolumen, a nic o pakiecie wewnętrznym. Na ścieżce TUN po odszyfrowaniu pakiet IP wewnątrz jest dostępny wraz z adresacją i portami, i bez ramki oddziału. Dlatego zrzut na trunku i zrzut routowany tego samego przepływu wyglądają jak dwie różne rozmowy.

Te trzy pozycje odpowiadają na trzy różne pytania, a jeden zrzut nie może być wszystkimi naraz.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Uruchom parę i porównaj. Pierwszy pokazuje oznaczone ramki i ich identyfikatory VLAN tam, gdzie łącze oddziału jest trunkiem do hosta; drugi pokazuje tę samą rozmowę jako zwykłe IP po routowaniu. Jeśli pierwszy nie zwróci nic, sprawdź, czy port hosta jest portem dostępowym, ponieważ wtedy tag został już usunięty przez przełącznik i żaden zrzut na hoście nigdy go nie pokaże.

Zastąp brakujący tag mapowaniem, którego możesz bronić

Jeśli polityka rozróżnia segmenty według prefiksu IP, zapisz to mapowanie wraz z jego granicami. Nakładające się zakresy adresów, tłumaczenie źródła i współdzielona brama mogą każde sprawić, że jeden prefiks nie wystarczy do ustalenia, skąd pakiet naprawdę przyszedł.

Ufaj interfejsowi i kontekstowi routingu, które kontrolujesz, a nie etykiecie dostarczonej przez klienta. Pole nagłówka, które może ustawić partner, nie jest dowodem przynależności, a reguła inspekcji, która traktuje je jako taki, jest trywialna do obejścia.

ip route get 10.20.30.40
ip -br addr show

Pierwsze polecenie podaje interfejs i źródło, których jądro użyłoby dla celu, co jest lokalnym widokiem przyłączenia do segmentu. Drugie wylicza adresy na interfejs, aby prefiksy w Twoim mapowaniu można było sprawdzić wobec rzeczywistości, a nie wobec diagramu.

Sprawdź ścieżkę powrotną i ładunek, zanim zaufasz wynikowi

Punkt inspekcji widzący tylko jeden kierunek pominie połowę rozmowy, a routing asymetryczny jest powszechny, gdy w grę wchodzi VPN. Potwierdź, że odpowiedzi przechodzą przez ten sam czujnik, zanim uznasz jednostronny zrzut za kompletny.

Odzyskanie pakietu IP wewnątrz nie odszyfrowuje też sesji HTTPS w nim. Jeśli pytanie polityki dotyczy treści, a nie przepływów, pozycja czujnika musi się ponownie przesunąć, a ta decyzja należy do tego samego dokumentu projektowego.

Przedłużenie nieograniczonego trunku do czujnika tylko po to, by pojawiło się pole VLAN, powiększa granicę sieci, nie odpowiadając na pierwotne pytanie. Wybierz pozycję dla informacji, której potrzebuje polityka, zapisz, czego nie może zobaczyć, i wróć do wyboru, gdy pytanie się zmieni.