De ce senzorul tău VPN nu vede niciodată eticheta VLAN a sucursalei

Un senzor din partea VPN vede două VLAN-uri de sucursală ca trafic IP simplu, iar eticheta care identifica fiecare sucursală pe propriul cablu a dispărut. Exact asta face un tunel rutat: recuperează pachete, nu cadrele Ethernet care le-au livrat. Dacă eticheta lipsă contează depinde în întregime de întrebarea pe care o adresezi senzorului. Parcurge cele patru verificări de mai jos în ordine și vei ști ce punct de observație poate răspunde la ea.

Mai întâi: stabilește ce recuperează tunelul tău

O interfață TUN transportă pachete IP, așa că antetul VLAN al cadrului sucursalei se oprește la routerul care a împins traficul în tunel. O interfață TAP transportă cadre Ethernet, ceea ce înseamnă că etichetele pot supraviețui când puntea și regulile de admitere VLAN le lasă să treacă. Citește tipul interfeței înainte de a raționa despre ce ar trebui să conțină o captură.

Niciuna dintre cele două opțiuni nu este un defect. Cele două proiecte răspund la întrebări diferite și lasă eticheta în locuri diferite.

Confirmă interfața singur, în loc să o deduci din numele produsului. Detaliile legăturii numesc tipul dispozitivului și arată steagurile în vigoare, iar o captură făcută pe un dispozitiv TUN nu va primi un antet Ethernet doar pentru că ai cerut-o. Dacă totuși apar etichete într-o captură TUN, aproape sigur citești altă interfață sau un tunel care transportă cadre în interiorul încărcăturii sale utile. Notează în care caz te afli înainte de a continua.

Al doilea: plasează senzorul acolo unde obiectul încă există

Trei poziții acoperă majoritatea proiectelor rutate: segmentul Ethernet al sucursalei, rețeaua exterioară dintre capetele tunelului și calea de după procesarea tunelului. Fiecare vede un obiect diferit, iar eticheta există doar în prima. Alegerea unei poziții a senzorului este o decizie privind obiectul de care are nevoie politica, nu o chestiune de comoditate.

Formulează întrebarea politicii în termeni la care tabelul poate răspunde, și de obicei se rezolvă singură. Dacă regula trebuie să știe din ce sucursală a venit un pachet, maparea prefixelor în aval poate fi suficientă, dar numai atât timp cât acea mapare rămâne exactă și neambiguă. Dacă regula trebuie să știe pe ce port a sosit cadrul, ai nevoie de prima poziție, pentru că nimic în aval nu poate reconstrui asta. Senzorii plasați din obișnuință și nu dintr-o întrebare sunt motivul pentru care echipele ajung să ceară un câmp pe care proiectul nu l-a purtat niciodată.

Un tunel care transportă Ethernet este un proiect diferit și are nevoie de propria verificare a ceea ce capetele păstrează sau rescriu. Alegerea doar a TAP încă nu definește puntea, regulile de admitere VLAN sau politica de inspecție.

Al treilea: câștigă contextul sursei în loc să te bazezi pe el

Un interval de adrese pe sucursală este substitutul obișnuit al identității VLAN și rezistă doar cât timp maparea rămâne unu la unu. Prefixele suprapuse, traducerea și o poartă partajată încalcă fiecare această presupunere într-un mod care arată ca o problemă de calitate a datelor, nu de proiect. Scrie maparea împreună cu limitele ei și spune ce se întâmplă cu un pachet care se potrivește cu două rânduri. Un prefix care apare în două sucursale ar trebui să fie o eroare pe care o detectezi, nu o aruncare de monedă pe care o accepți.

Contextul furnizat de client nu este dovadă a apartenenței. Este o afirmație, iar locul ei este într-o altă coloană.

Acolo unde distincția contează, folosește date de asociere pe care le controlezi: ce instanță de tunel a acceptat conexiunea, pe ce interfață au sosit pachetele, ce spune tabela locală de rutare despre acel partener. O etichetă furnizată de client este un indiciu util și o intrare de autorizare inutilă. Dacă senzorul nu poate stabili asocierea din partea lui, politica are nevoie de o regulă mai largă, nu de o presupunere încrezătoare.

Al patrulea: confirmă calea de răspuns și ce ratează decriptarea

Un senzor care vede doar o direcție poate părea în continuare sănătos, pentru că cererile continuă să sosească la timp. Verifică calea de răspuns în mod explicit și verifică-o pentru același flux, nu pentru accesibilitatea generală. Vizibilitatea semi-duplex devine o lipsă tăcută în orice concluzie bazată pe stare pe care o tragi de acolo.

Recuperarea traficului IP interior nu este nici ea același lucru cu a vedea aplicația din interior, pentru că TLS transportat prin tunel rămâne TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Cele două comenzi răspund la întrebarea despre interfață și arată ce conține de fapt captura, ceea ce este mai rapid decât să dezbatem arhitectura. Înlocuiește numele de interfață folosit de proiectul tău și rulează captura cât timp fluxul care te interesează este activ. Când nu apare nicio etichetă pe un dispozitiv TUN, constatarea este că proiectul a rutat în loc să punteze, nu că senzorul a pierdut date. Apoi mută senzorul într-o poziție care poate vedea eticheta sau rescrie regula în termeni pe care poziția actuală îi poate susține.