Pse një kapje në një VPN të rrugëzuar nuk shfaq kurrë etiketën VLAN të degës

Kapjet e marra në ndërfaqen e tunelit nuk do të shfaqin kurrë ID-në e VLAN të degës, dhe kjo është veti e projektimit, jo një mangësi e mjetit. Një tunel TUN i rrugëzuar transporton paketa IP, prandaj kuadri Ethernet i etiketuar që i mbante në lidhjen e degës përfundon te ruteri që i rrugëzoi. Nëse pyetja e politikës suaj ka të bëjë me segmente, pozicioni i sensorit duhet të zgjidhet për atë pyetje përpara se të fillojë kapja. Fusha VLAN që prisnit duhet të zëvendësohet me kontekst që mund të mbroni.

Shikoni çfarë transporton në të vërtetë ndërfaqja e tunelit

TUN u dorëzon paketa IP hostit; TAP dorëzon kuadro Ethernet. Një projektim i rrugëzuar përdor të parin, që do të thotë se paketa që arrin pas dekriptimit nuk ka fare kokë të shtresës së lidhjes, dhe për rrjedhojë asnjë etiketë 802.1Q për të lexuar. Asgjë nuk u hoq gjatë rrugës, sepse etiketa nuk hyri kurrë në tunel. Paketa e brendshme fillon nga koka e saj IP, prandaj çdo fushë që pret një rregull i vetëdijshëm për VLAN thjesht mungon.

Konfirmoni llojin e ndërfaqes përpara se të debatoni për kapjen, sepse një pajisje TAP në të njëjtin vendosje do të sillet ndryshe dhe do t'ju çojë në përfundimin e gabuar.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Komanda e parë printon llojin e pajisjes dhe flamujt e saj. E dyta printon kokën e shtresës së lidhjes për njëzet paketat e para, dhe në një pajisje TUN dalja fillon në IP pa bllok Ethernet, që është i gjithë shpjegimi në një ekran.

Zgjedhja e TAP gjithashtu nuk e rikthen etiketën. Një pajisje TAP i kalon kuadrot një ure, dhe çfarë ndodh me etiketën varet nga filtrimi VLAN i urës dhe anëtarësimi i konfiguruar i portit. Ky është një vendim i veçantë projektimi me mënyrat e veta të dështimit.

Qëndroni në një nga tre vendet dhe pranoni atë që mund të shohë

Në segmentin Ethernet të degës etiketa është e pranishme, por sensori sheh vetëm trafik lokal në atë segment. Në rrjetin e jashtëm VPN trafiku është i mbrojtur, prandaj një vëzhgues mëson pikat fundore dhe vëllimin dhe asgjë për paketën e brendshme. Në rrugën TUN pas dekriptimit paketa IP e brendshme është e disponueshme, me adresimin dhe portat e saj, dhe pa kuadrin e degës. Prandaj një kapje në trunk dhe një kapje e rrugëzuar e të njëjtit fluks duken si dy biseda të ndryshme.

Këto tre pozicione u përgjigjen tre pyetjeve të ndryshme, dhe një kapje e vetme nuk mund të jetë të gjitha njëherësh.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Ekzekutoni çiftin dhe krahasoni. E para shfaq kuadrot e etiketuara dhe ID-të e tyre VLAN aty ku lidhja e degës është trunk drejt hostit; e dyta shfaq të njëjtën bisedë si IP të thjeshtë pas rrugëzimit. Nëse e para nuk kthen asgjë, kontrolloni nëse porta e hostit është portë aksesi, sepse atëherë etiketa tashmë është hequr nga komutatori dhe asnjë kapje në host nuk do ta shfaqë kurrë.

Zëvendësoni etiketën që mungon me një hartëzim që mund të mbroni

Nëse politika i dallon segmentet sipas prefiksit IP, shkruani atë hartëzim bashkë me kufijtë e tij. Gama adresash që mbivendosen, përkthimi i burimit dhe një portë e përbashkët mund secili ta bëjnë një prefiks të pamjaftueshëm për të identifikuar se nga ka ardhur në të vërtetë një paketë.

Besoni ndërfaqes dhe kontekstit të rrugëzimit që kontrolloni, jo një etikete që jep klienti. Një fushë koke që një palë mund ta vendosë nuk është provë e anëtarësimit, dhe një rregull inspektimi që e trajton si të tillë anashkalohet lehtësisht.

ip route get 10.20.30.40
ip -br addr show

Komanda e parë raporton ndërfaqen dhe burimin që bërthama do të përdorte për një destinacion, që është pamja lokale e lidhjes me segmentin. E dyta liston adresat për çdo ndërfaqe, kështu që prefikset në hartëzimin tuaj mund të kontrollohen kundrejt realitetit dhe jo kundrejt diagramit.

Kontrolloni rrugën e kthimit dhe ngarkesën e dobishme përpara se t'i besoni rezultatit

Një pikë inspektimi që sheh vetëm një drejtim do të humbasë gjysmën e bisedës, dhe rrugëzimi asimetrik është i zakonshëm sapo përfshihet një VPN. Konfirmoni që përgjigjet kalojnë nëpër të njëjtin sensor përpara se ta konsideroni një kapje të njëanshme të plotë.

Rikuperimi i paketës IP të brendshme gjithashtu nuk dekripton një sesion HTTPS brenda saj. Nëse pyetja e politikës ka të bëjë me përmbajtjen dhe jo me flukset, pozicioni i sensorit duhet të lëvizë përsëri, dhe ky vendim i përket të njëjtit dokument projektimi.

Zgjatja e një trunku të pakufizuar deri te një sensor vetëm që të shfaqet një fushë VLAN zgjeron kufirin e rrjetit pa iu përgjigjur pyetjes origjinale. Zgjidhni pozicionin për informacionin që i nevojitet politikës, shënoni çfarë nuk mund të shohë, dhe rishikoni zgjedhjen kur pyetja ndryshon.