Pse sensori juaj VPN nuk e sheh kurrë etiketën VLAN të degës

Një sensor në anën e VPN-së sheh dy VLAN degësh si trafik IP të thjeshtë, dhe etiketa që identifikonte çdo degë në telin e vet ka humbur. Kjo është ajo që bën një tunel i rrugëtuar: rikuperon paketa, jo kornizat Ethernet që i dërguan ato. Nëse etiketa që mungon ka rëndësi varet plotësisht nga pyetja që i bëni sensorit. Kryeni katër kontrollet më poshtë me radhë dhe do të dini cila pikë vëzhgimi mund t’i përgjigjet asaj.

Së pari: përcaktoni çfarë rikuperon tuneli juaj

Një ndërfaqe TUN transporton paketa IP, prandaj kreu VLAN i kornizës së degës ndalon te rrugëtuesi që e shtyu trafikun në tunel. Një ndërfaqe TAP transporton korniza Ethernet, që do të thotë se etiketat mund të mbijetojnë kur ura dhe rregullat e pranimit të VLAN i lënë të kalojnë. Lexoni llojin e ndërfaqes përpara se të arsyetoni se çfarë duhet të përmbajë një regjistrim.

Asnjëra nga dy zgjedhjet nuk është defekt. Dy modelet u përgjigjen pyetjeve të ndryshme dhe e lënë etiketën në vende të ndryshme.

Verifikoni vetë ndërfaqen në vend që ta nxirrni nga emri i produktit. Detajet e lidhjes emërtojnë llojin e pajisjes dhe tregojnë flamujt në fuqi, dhe një regjistrim i marrë në një pajisje TUN nuk do të fitojë një krye Ethernet vetëm sepse e kërkuat. Nëse gjithsesi shfaqen etiketa në një regjistrim TUN, pothuajse me siguri po lexoni një ndërfaqe tjetër ose një tunel që transporton korniza brenda ngarkesës së tij. Vini re se në cilin rast jeni para se të vazhdoni.

Së dyti: vendoseni sensorin aty ku objekti ekziston ende

Tre pozicione mbulojnë shumicën e modeleve të rrugëtuara: segmenti Ethernet i degës, rrjeta e jashtme midis skajeve të tunelit dhe rruga pas përpunimit të tunelit. Secili sheh një objekt tjetër, dhe etiketa ekziston vetëm në të parin. Zgjedhja e pozicionit të sensorit është një vendim mbi atë se cili objekt i duhet politikës, jo një çështje komoditeti.

Bëni pyetjen e politikës në terma që tabela mund t’u përgjigjet, dhe zakonisht zgjidhet vetvetiu. Nëse rregulli duhet të dijë nga cila degë erdhi një paketë, hartëzimi i prefiksave në rrjedhën e poshtme mund të mjaftojë, por vetëm për sa kohë ai hartëzim mbetet i saktë dhe i paqartë. Nëse rregulli duhet të dijë në cilën portë mbërriti korniza, ju duhet pozicioni i parë, sepse asgjë në rrjedhën e poshtme nuk mund ta rindërtojë atë. Sensorët e vendosur nga zakoni dhe jo nga një pyetje janë arsyeja pse ekipet përfundojnë duke kërkuar një fushë që modeli nuk e mbajti kurrë.

Një tunel që transporton Ethernet është një model tjetër dhe kërkon kontrollin e vet se çfarë ruajnë ose rishkruajnë skajet. Zgjedhja vetëm e TAP nuk përcakton ende urën, rregullat e pranimit të VLAN ose politikën e inspektimit.

Së treti: fitoni kontekstin e burimit në vend që t’i besoni atij

Një interval adresash për degë është zëvendësimi i zakonshëm i identitetit VLAN, dhe vlen vetëm për sa kohë hartëzimi mbetet një me një. Prefikset që mbivendosen, përkthimi dhe një portë e përbashkët secili e thyen atë supozim në një mënyrë që duket problem i cilësisë së të dhënave dhe jo i modelit. Shkruajeni hartëzimin me kufijtë e tij dhe thoni çfarë ndodh me një paketë që përputhet me dy rreshta. Një prefiks që shfaqet në dy degë duhet të jetë një gabim që e zbuloni, jo një hedhje monedhe që e pranoni.

Konteksti i dhënë nga klienti nuk është provë e anëtarësisë. Është një pohim, dhe vendi i tij është në një kolonë tjetër.

Aty ku dallimi ka rëndësi, përdorni të dhëna lidhjeje që ju kontrolloni: cila instancë e tunelit e pranoi lidhjen, në cilën ndërfaqe mbërritën paketat, çfarë thotë tabela lokale e rrugëtimit për atë partner. Etiketa e dhënë nga klienti është një të dhënë e dobishme dhe një input i pavlefshëm autorizimi. Nëse sensori nuk mund ta vendosë lidhjen nga ana e vet, politikës i duhet një rregull më i gjerë dhe jo një supozim i sigurt.

Së katërti: konfirmoni rrugën e përgjigjes dhe çfarë lë pa dekriptimi

Një sensor që sheh vetëm një drejtim mund të duket ende i shëndetshëm, sepse kërkesat vazhdojnë të vijnë me kohë. Kontrolloni rrugën e përgjigjes në mënyrë të qartë, dhe kontrolloni për të njëjtin rrjedhë e jo për arritshmëri të përgjithshme. Dukshmëria gjysmë-dupleks bëhet një boshllëk i heshtur në çdo përfundim me gjendje që nxirrni prej saj.

Rikuperimi i trafikut të brendshëm IP nuk është as i njëjtë me shikimin e aplikacionit brenda tij, sepse TLS i transportuar përmes tunelit mbetet TLS.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Këto dy komanda i përgjigjen pyetjes së ndërfaqes dhe tregojnë çfarë përmban vërtet regjistrimi, gjë që është më e shpejtë sesa të debatosh për arkitekturën. Zëvendësoni emrin e ndërfaqes që përdor modeli juaj dhe ekzekutoni regjistrimin ndërsa rrjedha që ju intereson është aktive. Kur nuk shfaqet asnjë etiketë në një pajisje TUN, gjetja është se modeli rrugëtoi në vend që të urëzojë, e jo se sensori humbi të dhëna. Pastaj ose zhvendoseni sensorin në një pozicion që mund ta shohë etiketën, ose rishkruani rregullin në terma që pozicioni aktual mund t’i mbështesë.