Zašto vaš VPN senzor nikada ne vidi VLAN oznaku ogranka

Senzor na VPN strani vidi dve VLAN mreže ogranaka kao običan IP saobraćaj, a oznaka koja je identifikovala svaki ogranak na njegovoj sopstvenoj žici je nestala. Upravo to rutirani tunel radi: vraća pakete, a ne Ethernet okvire koji su ih dostavili. Da li nedostajuća oznaka ima značaj zavisi isključivo od pitanja koje postavljate senzoru. Prođite kroz četiri provere ispod po redu i znaćete koja tačka posmatranja može da odgovori na njega.

Prvo: utvrdite šta vaš tunel vraća

TUN interfejs prenosi IP pakete, pa se VLAN zaglavlje okvira ogranka zaustavlja na ruteru koji je gurnuo saobraćaj u tunel. TAP interfejs prenosi Ethernet okvire, što znači da oznake mogu opstati kada most i pravila propuštanja VLAN-a to dozvole. Pročitajte tip interfejsa pre nego što zaključujete šta snimak treba da sadrži.

Nijedan izbor nije defekt. Dva dizajna odgovaraju na različita pitanja i ostavljaju oznaku na različitim mestima.

Proverite interfejs sami umesto da ga izvodite iz naziva proizvoda. Detalji veze imenuju vrstu uređaja i pokazuju zastavice koje su na snazi, a snimak uzet na TUN uređaju neće dobiti Ethernet zaglavlje samo zato što ste ga tražili. Ako se oznake ipak pojave na TUN snimku, skoro sigurno čitate drugi interfejs ili tunel koji prenosi okvire unutar svog korisnog tereta. Zabeležite u kom ste slučaju pre nego što nastavite.

Drugo: postavite senzor tamo gde objekat još postoji

Tri položaja pokrivaju većinu rutiranih dizajna: Ethernet segment ogranka, spoljna mreža između krajnjih tačaka tunela i put nakon obrade tunela. Svaki vidi različit objekat, a oznaka postoji samo na prvom. Izbor položaja senzora je odluka o tome koji objekat politika traži, a ne pitanje praktičnosti.

Postavite pitanje politike u terminima na koje tabela može da odgovori i ono se obično samo reši. Ako pravilo treba da zna iz kog ogranka paket dolazi, mapiranje prefiksa nizvodno može biti dovoljno, ali samo dok je to mapiranje tačno i nedvosmisleno. Ako pravilo treba da zna na koji je port okvir stigao, potreban vam je prvi položaj, jer ništa nizvodno to ne može da rekonstruiše. Senzori postavljeni iz navike, a ne iz pitanja, način su na koji timovi na kraju traže polje koje dizajn nikada nije nosio.

Tunel koji prenosi Ethernet je drugačiji dizajn i traži sopstvenu proveru onoga što krajnje tačke čuvaju ili prepisuju. Samo biranje TAP-a još uvek ne definiše most, pravila propuštanja VLAN-a ni politiku inspekcije.

Treće: zaslužite kontekst izvora umesto da mu verujete

Jedan raspon adresa po ogranku uobičajena je zamena za VLAN identitet i važi samo dok mapiranje ostaje jedan na jedan. Prefiksi koji se preklapaju, prevođenje i zajednički gateway svaki ruše tu pretpostavku na način koji izgleda kao problem kvaliteta podataka, a ne dizajna. Zapišite mapiranje sa njegovim granicama i recite šta se dešava sa paketom koji odgovara dva reda. Prefiks koji se pojavljuje u dva ogranka treba da bude greška koju otkrijete, a ne bacanje novčića koje prihvatite.

Kontekst koji pruža klijent nije dokaz članstva. To je tvrdnja i pripada u drugu kolonu.

Gde je razlika važna, koristite podatke o povezanosti koje kontrolišete: koja instanca tunela je prihvatila vezu, na koji interfejs su paketi stigli, šta lokalna tabela rutiranja kaže o tom partneru. Oznaka koju pruža klijent korisna je naznaka i beskorisan ulaz za autorizaciju. Ako senzor ne može da utvrdi povezanost sa svoje strane, politici treba šire pravilo, a ne samouverena pretpostavka.

Četvrto: potvrdite put odgovora i šta dešifrovanje propušta

Senzor koji vidi samo jedan smer i dalje može da izgleda zdrav, jer zahtevi stalno pristižu po rasporedu. Proverite put odgovora izričito i proverite ga za isti tok, a ne za opštu dostupnost. Poludupleksna vidljivost postaje tiha praznina u svakom zaključku zasnovanom na stanju.

Vraćanje unutrašnjeg IP saobraćaja takođe nije isto što i viđenje aplikacije unutar njega, jer TLS koji se prenosi tunelom ostaje TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Te dve komande odgovaraju na pitanje interfejsa i pokazuju šta snimak zaista sadrži, što je brže od rasprave o arhitekturi. Zamenite naziv interfejsa koji koristi vaš dizajn i pokrenite snimanje dok je tok koji vas zanima aktivan. Kada se na TUN uređaju ne pojavi nikakva oznaka, nalaz je da je dizajn rutirao umesto da premošćuje, a ne da je senzor ispustio podatke. Zatim ili pomerite senzor na položaj koji može da vidi oznaku, ili prepišite pravilo u terminima koje trenutni položaj može da podrži.