Prečo váš VPN senzor nikdy nevidí VLAN značku pobočky

Senzor na strane VPN vidí dve VLAN pobočky ako bežnú IP prevádzku a značka, ktorá každú pobočku identifikovala na jej vlastnom drôte, zmizla. Presne to smerovaný tunel robí: obnovuje pakety, nie Ethernetové rámce, ktoré ich doručili. Či chýbajúca značka niečo znamená, závisí úplne od otázky, ktorú senzoru kladiete. Prejdite štyri nižšie uvedené kontroly po poradí a budete vedieť, ktoré pozorovacie miesto na ňu dokáže odpovedať.

Najprv: zistite, čo váš tunel obnovuje

Rozhranie TUN prenáša IP pakety, takže VLAN hlavička rámca pobočky sa zastaví na smerovači, ktorý prevádzku vtlačil do tunela. Rozhranie TAP prenáša Ethernetové rámce, čo znamená, že značky môžu prežiť, keď ich most a pravidlá vpustenia VLAN prepustia. Prečítajte si typ rozhrania, skôr než budete uvažovať, čo má záznam obsahovať.

Ani jedna z volieb nie je chyba. Oba návrhy odpovedajú na rôzne otázky a nechávajú značku na rôznych miestach.

Overte rozhranie sami, namiesto toho, aby ste ho odvodzovali z názvu produktu. Podrobnosti spojenia uvádzajú druh zariadenia a zobrazujú platné príznaky, a záznam urobený na zariadení TUN nedostane Ethernetovú hlavičku len preto, že ste o ňu požiadali. Ak sa na zázname z TUN napriek tomu objavia značky, takmer isto čítate iné rozhranie alebo tunel, ktorý prenáša rámce vnútri svojho užitočného zaťaženia. Pred pokračovaním si poznačte, o ktorý prípad ide.

Druhé: umiestnite senzor tam, kde objekt ešte existuje

Tri pozície pokrývajú väčšinu smerovaných návrhov: Ethernetový segment pobočky, vonkajšia sieť medzi koncami tunela a cesta po spracovaní tunela. Každá vidí iný objekt a značka existuje len v prvej. Voľba pozície senzora je rozhodnutie o tom, ktorý objekt politika potrebuje, nie otázka pohodlia.

Položte otázku politiky v podobe, na ktorú tabuľka dokáže odpovedať, a zvyčajne sa vyrieši sama. Ak pravidlo potrebuje vedieť, z ktorej pobočky paket prišiel, mapovanie prefixov nižšie môže stačiť, ale iba dovtedy, kým je toto mapovanie presné a jednoznačné. Ak pravidlo potrebuje vedieť, na ktorý port rámec dorazil, potrebujete prvú pozíciu, pretože nič nižšie to nedokáže zrekonštruovať. Senzory umiestnené zo zvyku a nie z otázky sú dôvod, prečo tímy napokon žiadajú pole, ktoré návrh nikdy nenesol.

Tunel prenášajúci Ethernet je iný návrh a vyžaduje vlastnú kontrolu toho, čo konce zachovávajú alebo prepisujú. Samotná voľba TAP stále nedefinuje most, pravidlá vpustenia VLAN ani politiku inšpekcie.

Tretie: zaslúžte si kontext zdroja namiesto toho, aby ste mu verili

Jeden adresný rozsah na pobočku je obvyklá náhrada identity VLAN a platí len dovtedy, kým mapovanie zostáva jedna k jednej. Prekrývajúce sa prefixy, preklad a spoločná brána každá toto predpoklady porušujú spôsobom, ktorý vyzerá ako problém kvality dát, nie návrhu. Zapíšte mapovanie s jeho hranicami a povedzte, čo sa stane s paketom, ktorý zodpovedá dvom riadkom. Prefix, ktorý sa objaví v dvoch pobočkách, by mal byť chyba, ktorú odhalíte, nie hod mincou, ktorý prijmete.

Kontext poskytnutý klientom nie je dôkazom členstva. Je to tvrdenie a patrí do iného stĺpca.

Tam, kde na rozdiele záleží, použite asociačné dáta, ktoré kontrolujete: ktorá inštancia tunela spojenie prijala, na ktoré rozhranie pakety dorazili, čo o tom partnerovi hovorí lokálna smerovacia tabuľka. Štítok poskytnutý klientom je užitočný podnet a nepoužiteľný vstup pre autorizáciu. Ak senzor nedokáže asociáciu určiť z vlastnej strany, politika potrebuje širšie pravidlo, nie sebavedomý odhad.

Štvrté: overte cestu odpovede a čo dešifrovanie vynecháva

Senzor, ktorý vidí len jeden smer, môže stále vyzerať zdravo, pretože požiadavky prichádzajú podľa plánu. Overte cestu odpovede výslovne a overte ju pre ten istý tok, nie pre všeobecnú dostupnosť. Poloduplexná viditeľnosť sa stáva tichou medzerou v každom stavovom závere, ktorý z nej vyvodíte.

Obnovenie vnútornej IP prevádzky tiež nie je to isté ako vidieť aplikáciu vnútri nej, pretože TLS prenášaný tunelom zostáva TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Tieto dva príkazy odpovedajú na otázku rozhrania a ukazujú, čo záznam skutočne obsahuje, čo je rýchlejšie než debatovať o architektúre. Nahraďte názov rozhrania, ktorý používa váš návrh, a spustite záznam, kým je tok, ktorý vás zaujíma, aktívny. Keď sa na zariadení TUN neobjaví žiadna značka, zistenie je, že návrh smeroval namiesto mostenia, a nie že senzor stratil dáta. Potom buď presuňte senzor na pozíciu, ktorá značku vidí, alebo prepíšte pravidlo v podobe, ktorú súčasná pozícia dokáže podporiť.