ولې د روټ شوي VPN ثبت هیڅکله د څانګې VLAN ټګ نه ښیي

د تونل انټرفیس باندې اخیستل شوي ثبتونه به هیڅکله د څانګې VLAN ID ونه ښیي، او دا د ډیزاین ځانګړتیا ده نه د وسیلې تشه۔ د روټ شوي TUN تونل IP پاکټونه لیږدوي، نو هغه ټګ شوی Ethernet چوکاټ چې دوی یې د څانګې په لینک کې لیږدول، په هغه روټر کې پای ته رسیږي چې دوی یې روټ کړل۔ که ستاسو د پالیسۍ پوښتنه د برخو په اړه وي، د سینسر موقعیت باید د ثبت له پیل مخکې دې پوښتنې لپاره وټاکل شي۔ هغه VLAN ساحه چې تاسو یې تمه درلوده باید داسې شرایطو سره بدله شي چې تاسو یې دفاع کولی شئ۔

وګورئ چې د تونل انټرفیس واقعیا څه لیږدوي

TUN د کوربه ته IP پاکټونه رسول کوي؛ TAP د Ethernet چوکاټونه رسول کوي۔ د روټ شوی ډیزاین لومړنی کاروي، دا مانا چې د ډیکریپشن وروسته راتلونکي پاکټ کې د لینک طبقې سرلیک هیڅ نه وي، او نو د لوستلو لپاره هیڅ 802.1Q ټګ هم نه وي۔ په لاره کې هیڅ نه لرې شو، ځکه ټګ هیڅکله تونل ته نه ننوت۔ داخلي پاکټ د خپل IP سرلیک څخه پیل کیږي، نو هره ساحه چې د VLAN خبرمنډ قاعده یې تمه لري یوازې نه شتون لري۔

د ثبت په اړه د بحث کولو دمخه د انټرفیس ډول تایید کړئ، ځکه چې په همدې ځای پرځای کې TAP وسیله به بل ډول چلند وکړي او تاسو به غلطې پایلې ته ورسوي۔

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

لومړی امر د وسیلې ډول او د هغې بیرغونه چاپوي۔ دویم هغه د لومړنیو شلو پاکټونو لپاره د لینک طبقې سرلیکونه چاپوي، او په TUN وسیله کې بهر د Ethernet بلاک پرته له IP څخه پیل کیږي، چې په یوه سکرین کې بشپړه توضیح ده۔

د TAP ټاکل هم ټګ بیا نه راولي۔ TAP وسیله چوکاټونه پل ته لیږدوي، او چې له ټګ سره څه کیږي په پل د VLAN فلټر کولو او د پورټ ټاکل شوي غړیتوب پورې اړه لري۔ دا یو جلا ډیزاین پرېکړه ده چې خپلې ناکامۍ لارې لري۔

په درېیو ځایونو کې یو ځای ودریږئ او هغه څه ومنئ چې کولی شي یې وګوري

د څانګې په Ethernet برخه کې ټګ شتون لري، خو سینسر یوازې په هغه برخه کې سیمه ایز ترافیک ویني۔ په بهرني VPN شبکه کې ترافیک خوندي دی، نو څارونکی یوازې پای ټکي او حجم زده کوي او د داخلي پاکټ په اړه هیڅ نه۔ د ډیکریپشن وروسته په TUN لار کې داخلي IP پاکټ د خپل آدرس او پورټونو سره شتون لري، او د څانګې د چوکاټ پرته۔ نو د یوه بهیر د ټرنک باندې ثبت او روټ شوی ثبت د دوو جلا خبرو په څیر ښکاري۔

هغه درې موقعیتونه د درېیو جلا پوښتنو ځواب ورکوي، او یو ثبت نشي کولی په یو وخت کې درې واړه وي۔

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

جوړه وچلوئ او پرتله یې کړئ۔ لومړی د ټګ شوي چوکاټونو او د هغوی VLAN ID ښیي چېرې چې د څانګې لینک کوربه ته ټرنک دی؛ دویم ورته خبرې د روټینګ وروسته د ساده IP په څیر ښیي۔ که لومړی هیڅ نه راوګرځوي، وګورئ چې د کوربه پورټ د لاسرسي پورټ دی که نه، ځکه چې بیا سویچ ټګ دمخه لرې کړی وي او په کوربه باندې هیڅ ثبت به یې هیڅکله ونه ښیي۔

ورک شوی ټګ د داسې نقشې سره بدل کړئ چې تاسو یې دفاع کولی شئ

که پالیسي برخې د IP مخکښې له مخې توپیروي، هغه نقشه د هغې د حدودو سره ولیکئ۔ د پتې ساحې چې یو بل ته ننوځي، د سرچینې ژباړه او یو شریک ګیټوی کولی شي هر یو یوه مخکښه ناکافي کړي ترڅو وټاکل شي چې پاکټ واقعیا له کوم ځای راغی۔

پر هغه انټرفیس او روټینګ شرایطو باور وکړئ چې تاسو یې کنټرولوئ، نه پر هغه لیبل چې کلینټ یې برابروي۔ هغه سرلیک ساحه چې سیال یې ټاکلی شي د غړیتوب ثبوت نه دی، او هغه کتنې قاعده چې دا داسې ګڼي په اسانۍ سره څنګ ته کیدای شي۔

ip route get 10.20.30.40
ip -br addr show

لومړی امر هغه انټرفیس او سرچینه راپور ورکوي چې کرنل به یې د یو مقصد لپاره کاروي، چې د برخې سره د تړاو محلي لید دی۔ دویم په هر انټرفیس باندې پتې لیست کوي ترڅو ستاسو په نقشه کې مخکښې د ډیاګرام پرځای له واقعیت سره وګڼل شي۔

د پایلې باور کولو دمخه د بیرته راستنیدو لار او پیلوډ وګورئ

هغه کتنې ټکی چې یوازې یوه لوری ویني به د خبرو نیمه برخه له لاسه ورکړي، او د VPN له ښکیلیدو سره سم غیر متناسب روټینګ عام دی۔ مخکې له دې چې یو اړخیز ثبت بشپړ وګڼئ، تایید کړئ چې ځوابونه هماغه سینسر ته رسیږي۔

د داخلي IP پاکټ بیرته راګرځول هم دننه د HTTPS غونډې ډیکریپټ نه کوي۔ که د پالیسۍ پوښتنه د بهیرونو پرځای د منځپانګې په اړه وي، د سینسر موقعیت باید بیا ځای بدل شي، او هغه پرېکړه هماغه د ډیزاین سند پورې اړه لري۔

د یوې بې محدودې ټرنک سینسر ته غځول یوازې د دې لپاره چې د VLAN ساحه ښکاره شي د اصلي پوښتنې ځواب نه ورکولو سره د شبکې پوله لویوي۔ د پالیسۍ لپاره د اړین معلوماتو لپاره موقعیت وټاکئ، ثبت یې کړئ چې څه نشي لیدلی، او کله چې پوښتنه بدله شي انتخاب بیا وګورئ۔