De ce o captură într-un VPN rutat nu arată niciodată eticheta VLAN a filialei

Capturile făcute pe interfața tunelului nu vor arăta niciodată ID-ul VLAN al filialei, iar aceasta este o proprietate a proiectării și nu o lipsă a instrumentului. Un tunel TUN rutat transportă pachete IP, așa că cadrul Ethernet etichetat care le transporta pe legătura filialei se termină la routerul care le-a rutat. Dacă întrebarea politicii dumneavoastră este despre segmente, poziția senzorului trebuie aleasă pentru acea întrebare înainte de începerea capturii. Câmpul VLAN pe care îl așteptați trebuie înlocuit cu context pe care îl puteți apăra.

Uitați-vă la ce transportă de fapt interfața tunelului

TUN livrează pachete IP gazdei; TAP livrează cadre Ethernet. O proiectare rutată îl folosește pe primul, ceea ce înseamnă că pachetul care sosește după decriptare nu are deloc antet de nivel legătură și, prin urmare, nicio etichetă 802.1Q de citit. Nimic nu a fost eliminat în tranzit, pentru că eticheta nu a intrat niciodată în tunel. Pachetul interior începe de la antetul său IP, așa că fiecare câmp pe care îl așteaptă o regulă conștientă de VLAN lipsește pur și simplu.

Confirmați tipul interfeței înainte de a discuta despre captură, deoarece un dispozitiv TAP în aceeași implementare se va comporta diferit și va duce la concluzia greșită.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Prima comandă afișează tipul dispozitivului și fanioanele acestuia. A doua afișează anteturile de nivel legătură pentru primele douăzeci de pachete, iar pe un dispozitiv TUN ieșirea începe la IP fără bloc Ethernet, ceea ce este întreaga explicație pe un singur ecran.

Alegerea TAP nu restaurează nici eticheta. Un dispozitiv TAP transmite cadre către un bridge, iar ce se întâmplă cu eticheta depinde de filtrarea VLAN a bridge-ului și de apartenența configurată a portului. Aceasta este o decizie de proiectare separată, cu propriile moduri de eșec.

Stați într-unul dintre cele trei locuri și acceptați ce poate vedea

Pe segmentul Ethernet al filialei eticheta este prezentă, dar senzorul vede doar traficul local pe acel segment. Pe rețeaua VPN exterioară traficul este protejat, așa că un observator află punctele finale și volumul și nimic despre pachetul interior. Pe calea TUN după decriptare pachetul IP interior este disponibil, cu adresarea și porturile sale, și fără cadrul filialei. Prin urmare, o captură pe un trunk și o captură rutată a aceluiași flux arată ca două conversații diferite.

Acele trei poziții răspund la trei întrebări diferite, iar o singură captură nu poate fi toate simultan.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Rulați perechea și comparați. Prima arată cadre etichetate și ID-urile lor VLAN acolo unde legătura filialei este trunk către gazdă; a doua arată aceeași conversație ca IP simplu după rutare. Dacă prima nu returnează nimic, verificați dacă portul gazdei este un port de acces, pentru că atunci eticheta a fost deja eliminată de switch și nicio captură pe gazdă nu o va arăta vreodată.

Înlocuiți eticheta lipsă cu o mapare pe care o puteți apăra

Dacă politica distinge segmentele după prefixul IP, notați acea mapare împreună cu limitele ei. Intervalele de adrese suprapuse, traducerea sursei și o poartă partajată pot fiecare face un singur prefix insuficient pentru a identifica de unde a venit de fapt un pachet.

Aveți încredere în interfața și contextul de rutare pe care le controlați, nu într-o etichetă furnizată de client. Un câmp de antet pe care un partener îl poate seta nu este dovadă a apartenenței, iar o regulă de inspecție care îl tratează ca atare este ușor de ocolit.

ip route get 10.20.30.40
ip -br addr show

Prima comandă raportează interfața și sursa pe care nucleul le-ar folosi pentru o destinație, ceea ce este vederea locală a atașării la segment. A doua listează adresele pe interfață, astfel încât prefixele din maparea dumneavoastră să poată fi verificate față de realitate, nu față de diagramă.

Verificați calea de retur și încărcătura utilă înainte de a avea încredere în rezultat

Un punct de inspecție care vede doar o direcție va pierde jumătate din conversație, iar rutarea asimetrică este obișnuită odată ce este implicat un VPN. Confirmați că răspunsurile traversează același senzor înainte de a considera o captură unilaterală completă.

Recuperarea pachetului IP interior nu decriptează nici o sesiune HTTPS din interiorul lui. Dacă întrebarea politicii este despre conținut și nu despre fluxuri, poziția senzorului trebuie mutată din nou, iar acea decizie aparține aceluiași document de proiectare.

Extinderea unui trunk fără restricții până la un senzor doar pentru a face să apară un câmp VLAN mărește granița rețelei fără a răspunde la întrebarea inițială. Alegeți poziția pentru informațiile de care are nevoie politica, notați ce nu poate vedea și revizuiți alegerea când întrebarea se schimbă.