Prečo zachytenie v routovanom VPN nikdy nezobrazí VLAN značku pobočky

Zachytenia vytvorené na rozhraní tunela nikdy nezobrazia VLAN ID pobočky, a to je vlastnosť návrhu, nie medzera v nástroji. Routovaný tunel TUN prenáša IP pakety, takže označený Ethernet rámec, ktorý ich niesol na linke pobočky, končí na routeri, ktorý ich smeroval. Ak sa váš dotaz politiky týka segmentov, pozícia senzora musí byť vybraná pre tento dotaz pred začiatkom zachytenia. Pole VLAN, ktoré ste očakávali, musí byť nahradené kontextom, ktorý dokážete obhájiť.

Pozrite sa, čo rozhranie tunela skutočne prenáša

TUN doručuje IP pakety hostiteľovi; TAP doručuje Ethernet rámce. Routovaný návrh používa prvú možnosť, čo znamená, že paket, ktorý príde po dešifrovaní, nemá vôbec žiadnu hlavičku linkovej vrstvy, a teda ani značku 802.1Q na čítanie. Nič nebolo po ceste odstránené, pretože značka nikdy nevstúpila do tunela. Vnútorný paket začína svojou IP hlavičkou, takže každé pole, ktoré pravidlo s ohľadom na VLAN očakáva, jednoducho chýba.

Pred diskusiou o zachytení potvrďte typ rozhrania, pretože zariadenie TAP v rovnakom nasadení sa bude správať inak a povedie k nesprávnemu záveru.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Prvý príkaz vypíše druh zariadenia a jeho príznaky. Druhý vypíše hlavičky linkovej vrstvy pre prvých dvadsať paketov a na zariadení TUN výstup začína na IP bez Ethernet bloku, čo je celé vysvetlenie na jednej obrazovke.

Voľba TAP ani neobnoví značku. Zariadenie TAP odovzdáva rámce mostu a to, čo sa so značkou stane, závisí od VLAN filtrovania mosta a nakonfigurovaného členstva portu. To je samostatné návrhové rozhodnutie s vlastnými režimami zlyhania.

Postavte sa na jedno z troch miest a prijmite, čo môže vidieť

Na Ethernet segmente pobočky je značka prítomná, ale senzor vidí len miestnu prevádzku na tomto segmente. Na vonkajšej sieti VPN je prevádzka chránená, takže pozorovateľ zistí koncové body a objem a nič o vnútornom pakete. Na ceste TUN po dešifrovaní je vnútorný IP paket dostupný s jeho adresovaním a portami a bez rámca pobočky. Preto zachytenie na trunku a routované zachytenie toho istého toku vyzerajú ako dve rôzne konverzácie.

Tieto tri pozície odpovedajú na tri rôzne otázky a jedno zachytenie nemôže byť všetkými naraz.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Spustite pár a porovnajte. Prvé ukazuje označené rámce a ich VLAN ID tam, kde je linka pobočky trunkom k hostiteľovi; druhé ukazuje tú istú konverzáciu ako obyčajné IP po smerovaní. Ak prvé nevráti nič, skontrolujte, či je port hostiteľa prístupovým portom, pretože potom značku už odstránil prepínač a žiadne zachytenie na hostiteľovi ju nikdy nezobrazí.

Nahraďte chýbajúcu značku mapovaním, ktoré dokážete obhájiť

Ak politika rozlišuje segmenty podľa IP prefixu, zapíšte toto mapovanie spolu s jeho hranicami. Prekrývajúce sa rozsahy adries, preklad zdroja a zdieľaná brána môžu každé spôsobiť, že jeden prefix nestačí na určenie, odkiaľ paket skutočne prišiel.

Dôverujte rozhraniu a kontextu smerovania, ktoré ovládate, nie označeniu, ktoré dodá klient. Pole hlavičky, ktoré môže peer nastaviť, nie je dôkazom členstva a pravidlo kontroly, ktoré ho tak berie, sa dá ľahko obísť.

ip route get 10.20.30.40
ip -br addr show

Prvý príkaz hlási rozhranie a zdroj, ktoré by jadro použilo pre cieľ, čo je miestny pohľad na pripojenie k segmentu. Druhý vypisuje adresy po rozhraniach, aby sa prefixy vo vašom mapovaní dali skontrolovať proti realite a nie proti diagramu.

Pred dôverou vo výsledok skontrolujte spätnú cestu a užitočné zaťaženie

Kontrolný bod, ktorý vidí len jeden smer, vynechá polovicu konverzácie a asymetrické smerovanie je bežné, keď je zapojený VPN. Predtým, než jednostranné zachytenie považujete za úplné, potvrďte, že odpovede prechádzajú tým istým senzorom.

Obnovenie vnútorného IP paketu tiež nedešifruje reláciu HTTPS v ňom. Ak sa dotaz politiky týka obsahu a nie tokov, pozícia senzora sa musí znova posunúť a toto rozhodnutie patrí do toho istého návrhového dokumentu.

Rozšírenie neobmedzeného trunku k senzoru len preto, aby sa objavilo pole VLAN, zväčšuje hranicu siete bez odpovede na pôvodnú otázku. Vyberte pozíciu pre informácie, ktoré politika potrebuje, zaznamenajte, čo nevidí, a voľbu prehodnoťte, keď sa otázka zmení.