Zakaj vaš senzor VPN nikoli ne vidi oznake VLAN podružnice

Senzor na strani VPN vidi dve VLAN podružnice kot navaden IP promet, oznaka, ki je vsako podružnico prepoznala na njeni lastni žici, pa je izginila. Točno to počne usmerjen tunel: obnovi pakete, ne okvirjev Ethernet, ki so jih dostavili. Ali je manjkajoča oznaka pomembna, je v celoti odvisno od vprašanja, ki ga postavite senzorju. Izvedite štiri spodnja preverjanja po vrsti in vedeli boste, katera točka opazovanja lahko odgovori nanj.

Najprej: ugotovite, kaj obnovi vaš tunel

Vmesnik TUN prenaša pakete IP, zato se glava VLAN okvirja podružnice ustavi na usmerjevalniku, ki je promet potisnil v tunel. Vmesnik TAP prenaša okvirje Ethernet, kar pomeni, da lahko oznake preživijo, ko jih most in pravila za sprejem VLAN spustijo skozi. Preberite vrsto vmesnika, preden razmišljate, kaj naj bi posnetek vseboval.

Nobena izbira ni napaka. Obe zasnovi odgovarjata na različna vprašanja in puščata oznako na različnih mestih.

Vmesnik preverite sami, namesto da ga sklepate iz imena izdelka. Podrobnosti povezave navajajo vrsto naprave in prikazujejo veljavne zastavice, posnetek na napravi TUN pa ne bo dobil glave Ethernet samo zato, ker ste zanjo prosili. Če se oznake vseeno pojavijo v posnetku TUN, skoraj zagotovo berete drug vmesnik ali tunel, ki prenaša okvirje znotraj svoje koristne obremenitve. Preden nadaljujete, zabeležite, za kateri primer gre.

Drugič: postavite senzor tja, kjer objekt še obstaja

Trije položaji pokrivajo večino usmerjenih zasnov: segment Ethernet podružnice, zunanje omrežje med koncema tunela in pot po obdelavi tunela. Vsak vidi drug objekt, oznaka pa obstaja le na prvem. Izbira položaja senzorja je odločitev o tem, kateri objekt politika potrebuje, ne vprašanje udobja.

Vprašanje politike zastavite s pojmi, na katere tabela zna odgovoriti, in običajno se reši samo. Če mora pravilo vedeti, iz katere podružnice je prišel paket, lahko preslikava predpon nižje zadostuje, a le dokler je ta preslikava natančna in nedvoumna. Če mora pravilo vedeti, na katera vrata je prišel okvir, potrebujete prvi položaj, ker nič nižje tega ne more obnoviti. Senzorji, postavljeni iz navade in ne iz vprašanja, so razlog, da ekipe na koncu zahtevajo polje, ki ga zasnova nikoli ni nosila.

Tunel, ki prenaša Ethernet, je drugačna zasnova in potrebuje lastno preverjanje tega, kaj konca ohranjata ali prepisujeta. Sama izbira TAP še vedno ne določa mostu, pravil za sprejem VLAN ali politike pregleda.

Tretjič: prislužite si kontekst vira, namesto da bi mu zaupali

En obseg naslovov na podružnico je običajna zamenjava za identiteto VLAN in velja le, dokler preslikava ostaja ena proti ena. Prekrivajoče se predpone, prevajanje in skupna prehodna postaja vsaka prebije to predpostavko na način, ki je videti kot težava s kakovostjo podatkov, ne pa z zasnovo. Zapišite preslikavo z njenimi mejami in povejte, kaj se zgodi s paketom, ki ustreza dvema vrsticama. Predpona, ki se pojavi v dveh podružnicah, bi morala biti napaka, ki jo zaznate, ne met kovanca, ki ga sprejmete.

Kontekst, ki ga zagotovi odjemalec, ni dokaz o članstvu. To je trditev in spada v drug stolpec.

Kjer je razlika pomembna, uporabite podatke o povezavi, ki jih nadzorujete: katera instanca tunela je sprejela povezavo, na kateri vmesnik so prispeli paketi, kaj lokalna tabela usmerjanja pravi o tem partnerju. Oznaka, ki jo zagotovi odjemalec, je koristen namig in neuporaben vhod za avtorizacijo. Če senzor ne more ugotoviti povezave s svoje strani, politika potrebuje širše pravilo, ne pa samozavestne domneve.

Četrtič: potrdite pot odgovora in kaj dešifriranje spregleda

Senzor, ki vidi le eno smer, je lahko še vedno videti zdrav, ker zahteve še naprej prihajajo pravočasno. Pot odgovora preverite izrecno in jo preverite za isti tok, ne za splošno dosegljivost. Poldupleksna vidljivost postane tiha vrzel v vsakem sklepu, ki temelji na stanju.

Obnovitev notranjega prometa IP tudi ni isto kot videti aplikacijo znotraj njega, ker TLS, ki se prenaša po tunelu, ostaja TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Ta dva ukaza odgovorita na vprašanje vmesnika in pokažeta, kaj posnetek v resnici vsebuje, kar je hitreje kot razpravljati o arhitekturi. Zamenjajte ime vmesnika, ki ga uporablja vaša zasnova, in zaženite posnetek, medtem ko je tok, ki vas zanima, aktiven. Ko se na napravi TUN ne pokaže nobena oznaka, je ugotovitev, da je zasnova usmerila namesto mostila, in ne da je senzor izgubil podatke. Nato bodisi premaknite senzor na položaj, ki vidi oznako, bodisi prepišite pravilo s pojmi, ki jih trenutni položaj lahko podpre.