Por que uma captura em VPN encaminhada nunca mostra a tag VLAN da filial

As capturas feitas na interface do túnel nunca mostrarão o ID de VLAN da filial, e isso é uma propriedade do projeto e não uma falha da ferramenta. Um túnel TUN encaminhado transporta pacotes IP, portanto o quadro Ethernet com tag que os carregava no link da filial termina no roteador que os encaminhou. Se a pergunta da sua política é sobre segmentos, a posição do sensor deve ser escolhida para essa pergunta antes de a captura começar. O campo VLAN que você esperava deve ser substituído por contexto que você possa defender.

Veja o que a interface do túnel realmente transporta

O TUN entrega pacotes IP ao host; o TAP entrega quadros Ethernet. Um projeto encaminhado usa o primeiro, o que significa que o pacote que chega após a descriptografia não tem nenhum cabeçalho de camada de enlace, e portanto nenhuma tag 802.1Q para ler. Nada foi removido no trânsito, porque a tag nunca entrou no túnel. O pacote interno começa em seu cabeçalho IP, então todo campo que uma regra ciente de VLAN espera simplesmente está ausente.

Confirme o tipo de interface antes de discutir sobre a captura, pois um dispositivo TAP na mesma implantação se comportará de forma diferente e levará à conclusão errada.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

O primeiro comando imprime o tipo de dispositivo e suas flags. O segundo imprime os cabeçalhos de camada de enlace dos primeiros vinte pacotes, e em um dispositivo TUN a saída começa em IP sem bloco Ethernet, que é toda a explicação em uma tela.

Escolher TAP também não restaura a tag. Um dispositivo TAP passa quadros para uma bridge, e o que acontece com a tag depende da filtragem VLAN da bridge e da associação configurada da porta. Essa é uma decisão de projeto separada com seus próprios modos de falha.

Fique em um dos três lugares e aceite o que ele pode ver

No segmento Ethernet da filial a tag está presente, mas o sensor só vê tráfego local nesse segmento. Na rede VPN externa o tráfego é protegido, então um observador aprende os extremos e o volume e nada sobre o pacote interno. No caminho TUN após a descriptografia o pacote IP interno está disponível, com seu endereçamento e suas portas, e sem o quadro da filial. Por isso, uma captura em tronco e uma captura encaminhada do mesmo fluxo parecem duas conversas diferentes.

Essas três posições respondem a três perguntas diferentes, e uma única captura não pode ser todas ao mesmo tempo.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Execute o par e compare. A primeira mostra quadros com tag e seus IDs de VLAN onde o link da filial está em tronco para o host; a segunda mostra a mesma conversa como IP simples após o encaminhamento. Se a primeira não retornar nada, verifique se a porta do host é uma porta de acesso, porque então o comutador já removeu a tag e nenhuma captura no host jamais a mostrará.

Substitua a tag ausente por um mapeamento que você possa defender

Se a política distingue segmentos por prefixo IP, anote esse mapeamento junto com seus limites. Faixas de endereços sobrepostas, tradução de origem e um gateway compartilhado podem cada um tornar um único prefixo insuficiente para identificar de onde um pacote realmente veio.

Confie na interface e no contexto de encaminhamento que você controla, não em um rótulo fornecido pelo cliente. Um campo de cabeçalho que um par pode definir não é prova de associação, e uma regra de inspeção que o trata como tal é trivialmente contornada.

ip route get 10.20.30.40
ip -br addr show

O primeiro comando informa a interface e a origem que o kernel usaria para um destino, que é a visão local da conexão ao segmento. O segundo lista os endereços por interface para que os prefixos do seu mapeamento possam ser verificados contra a realidade em vez do diagrama.

Verifique o caminho de retorno e a carga útil antes de confiar no resultado

Um ponto de inspeção que vê apenas uma direção perderá metade da conversa, e o encaminhamento assimétrico é comum assim que há uma VPN. Confirme que as respostas atravessam o mesmo sensor antes de considerar uma captura unilateral completa.

Recuperar o pacote IP interno também não descriptografa uma sessão HTTPS dentro dele. Se a pergunta da política é sobre conteúdo e não sobre fluxos, a posição do sensor deve mudar novamente, e essa decisão pertence ao mesmo documento de projeto.

Estender um tronco sem restrições até um sensor apenas para que um campo VLAN apareça amplia o limite da rede sem responder à pergunta original. Escolha a posição para as informações de que a política precisa, registre o que ele não pode ver, e reveja a escolha quando a pergunta mudar.