Zakaj posnetek v usmerjenem VPN nikoli ne pokaže oznake VLAN podružnice

Posnetki, narejeni na vmesniku tunela, nikoli ne bodo pokazali ID VLAN podružnice, in to je lastnost zasnove, ne vrzel v orodju. Usmerjen tunel TUN prenaša pakete IP, zato se označen okvir Ethernet, ki jih je prenašal na povezavi podružnice, konča na usmerjevalniku, ki jih je usmeril. Če vaše vprašanje politike zadeva segmente, je treba položaj senzorja izbrati za to vprašanje pred začetkom snemanja. Polje VLAN, ki ste ga pričakovali, je treba nadomestiti s kontekstom, ki ga lahko zagovarjate.

Poglejte, kaj vmesnik tunela dejansko prenaša

TUN dostavi pakete IP gostitelju; TAP dostavi okvirje Ethernet. Usmerjena zasnova uporabi prvo, kar pomeni, da paket, ki prispe po dešifriranju, sploh nima glave povezavnega sloja, zato tudi nima oznake 802.1Q za branje. Na poti ni bilo nič odstranjeno, ker oznaka nikoli ni prišla v tunel. Notranji paket se začne s svojo glavo IP, zato vsako polje, ki ga pričakuje pravilo zavedno VLAN, preprosto manjka.

Preden razpravljate o posnetku, potrdite vrsto vmesnika, saj se bo naprava TAP v isti uvedbi obnašala drugače in vas pripeljala do napačnega sklepa.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Prvi ukaz izpiše vrsto naprave in njene zastavice. Drugi izpiše glave povezavnega sloja za prvih dvajset paketov, in na napravi TUN se izpis začne pri IP brez bloka Ethernet, kar je celotna razlaga na enem zaslonu.

Izbira TAP tudi ne obnovi oznake. Naprava TAP posreduje okvirje mostu, in kaj se zgodi z oznako, je odvisno od filtriranja VLAN mostu in nastavljene članstva vrat. To je ločena oblikovalska odločitev z lastnimi načini odpovedi.

Stojte na enem od treh mest in sprejmite, kaj lahko vidi

Na segmentu Ethernet podružnice je oznaka prisotna, vendar senzor vidi le lokalni promet na tem segmentu. Na zunanjem omrežju VPN je promet zaščiten, zato opazovalec izve končne točke in obseg in nič o notranjem paketu. Na poti TUN po dešifriranju je notranji paket IP na voljo z naslavljanjem in vrati ter brez okvira podružnice. Zato posnetek na trunku in usmerjen posnetek istega toka izgledata kot dva različna pogovora.

Ta tri položaji odgovarjajo na tri različna vprašanja in en posnetek ne more biti vse hkrati.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Zaženite par in primerjajte. Prvi prikaže označene okvirje in njihove ID VLAN tam, kjer je povezava podružnice trunk do gostitelja; drugi prikaže isti pogovor kot navaden IP po usmerjanju. Če prvi ne vrne ničesar, preverite, ali so gostiteljeva vrata dostopna vrata, ker je takrat oznako že odstranilo stikalo in noben posnetek na gostitelju je ne bo nikoli pokazal.

Nadomestite manjkajočo oznako z preslikavo, ki jo lahko zagovarjate

Če politika razlikuje segmente po predponi IP, zapišite to preslikavo skupaj z njenimi mejami. Prekrivajoči se razponi naslovov, prevajanje vira in skupna prehodna točka lahko vsak naredijo eno predpono nezadostno za ugotavljanje, od kod je paket v resnici prišel.

Zaupajte vmesniku in kontekstu usmerjanja, ki ju nadzorujete, ne oznaki, ki jo zagotovi odjemalec. Polje glave, ki ga lahko nastavi partner, ni dokaz članstva in pravilo pregleda, ki ga obravnava kot takega, je mogoče zlahka obiti.

ip route get 10.20.30.40
ip -br addr show

Prvi ukaz poroča vmesnik in vir, ki bi ju jedro uporabilo za cilj, kar je lokalni pogled na priključitev na segment. Drugi našteje naslove po vmesnikih, da je predpone v vaši preslikavi mogoče preveriti proti resničnosti in ne proti diagramu.

Preden zaupate rezultatu, preverite povratno pot in uporabno obremenitev

Pregledna točka, ki vidi samo eno smer, bo zamudila polovico pogovora, asimetrično usmerjanje pa je običajno, ko je vključen VPN. Potrdite, da odgovori potekajo skozi isti senzor, preden enostranski posnetek štejete za popoln.

Obnovitev notranjega paketa IP prav tako ne dešifrira seje HTTPS v njem. Če vprašanje politike zadeva vsebino in ne tokove, je treba položaj senzorja znova premakniti, in ta odločitev spada v isti oblikovalski dokument.

Podaljšanje neomejenega trunka do senzorja samo zato, da bi se pojavilo polje VLAN, poveča mejo omrežja, ne da bi odgovorilo na prvotno vprašanje. Izberite položaj za informacije, ki jih politika potrebuje, zabeležite, česa ne more videti, in izbiro ponovno preučite, ko se vprašanje spremeni.