Зашто снимак у рутираном VPN-у никада не приказује VLAN ознаку огранка

Снимци направљени на интерфејсу тунела никада неће приказати VLAN ID огранка, и то је својство дизајна, а не празнина у алату. Рутирани TUN тунел преноси IP пакете, тако да означени Ethernet оквир који их је носио на вези огранка завршава на рутеру који их је рутирао. Ако се ваше питање политике односи на сегменте, позиција сензора мора бити изабрана за то питање пре почетка снимка. Поље VLAN које сте очекивали мора бити замењено контекстом који можете да браните.

Погледајте шта интерфејс тунела заправо преноси

TUN доставља IP пакете домаћину; TAP доставља Ethernet оквире. Рутирани дизајн користи прво, што значи да пакет који стиже после дешифровања уопште нема заглавље слоја везе, па према томе нема ни 802.1Q ознаку за читање. Ништа није уклоњено на путу, јер ознака никада није ушла у тунел. Унутрашњи пакет почиње од свог IP заглавља, па је свако поље које правило свесно VLAN-а очекује једноставно одсутно.

Потврдите тип интерфејса пре него што расправљате о снимку, јер ће се TAP уређај у истом распоређивању понашати другачије и навести на погрешан закључак.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Прва команда исписује врсту уређаја и његове заставице. Друга исписује заглавља слоја везе за првих двадесет пакета, а на TUN уређају излаз почиње од IP-а без Ethernet блока, што је цело објашњење на једном екрану.

Избор TAP-а такође не враћа ознаку. TAP уређај прослеђује оквире мосту, а шта се дешава са ознаком зависи од VLAN филтрирања моста и конфигурисаног чланства порта. То је одвојена дизајнерска одлука са сопственим режимима отказа.

Станите на једно од три места и прихватите шта може да види

На Ethernet сегменту огранка ознака је присутна, али сензор види само локални саобраћај на том сегменту. На спољашњој VPN мрежи саобраћај је заштићен, па посматрач сазнаје крајње тачке и обим и ништа о унутрашњем пакету. На путу TUN после дешифровања унутрашњи IP пакет је доступан, са својим адресирањем и портовима, и без оквира огранка. Зато снимак на транку и рутирани снимак истог тока изгледају као два различита разговора.

Те три позиције одговарају на три различита питања, а један снимак не може бити све три одједном.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Покрените пар и упоредите. Први приказује означене оквире и њихове VLAN ID-ове тамо где је веза огранка транк ка домаћину; други приказује исти разговор као обичан IP након рутирања. Ако први не врати ништа, проверите да ли је порт домаћина приступни порт, јер је тада ознаку већ уклонио свич и ниједан снимак на домаћину је никада неће приказати.

Замените ознаку која недостаје мапирањем које можете да браните

Ако политика разликује сегменте по IP префиксу, запишите то мапирање заједно са његовим границама. Опсези адреса који се преклапају, превођење извора и заједнички гејтвеј могу сваки да учине један префикс недовољним за утврђивање одакле је пакет заиста дошао.

Верујте интерфејсу и контексту рутирања које контролишете, а не ознаци коју доставља клијент. Поље заглавља које партнер може да постави није доказ чланства, а правило провере које га тако третира лако се заобилази.

ip route get 10.20.30.40
ip -br addr show

Прва команда извештава који би интерфејс и извор кернел користио за одредиште, што је локални поглед на прикључење сегменту. Друга наводи адресе по интерфејсу, тако да префикси у вашем мапирању могу бити проверени према стварности, а не према дијаграму.

Проверите повратни пут и корисни терет пре него што поверујете резултату

Тачка провере која види само један смер пропустиће половину разговора, а асиметрично рутирање је уобичајено када је VPN укључен. Потврдите да одговори пролазе кроз исти сензор пре него што једнострани снимак сматрате потпуним.

Опоравак унутрашњег IP пакета такође не дешифрује HTTPS сесију у њему. Ако се питање политике односи на садржај, а не на токове, позиција сензора мора поново да се помери, и та одлука припада истом дизајнерском документу.

Продужење неограниченог транка до сензора само да би се појавило поље VLAN увећава мрежну границу без одговора на првобитно питање. Изаберите позицију за информације које политика захтева, запишите шта не може да види, и преиспитајте избор када се питање промени.