Зашто ваш VPN сензор никада не види VLAN ознаку огранка
Рутирани тунел враћа пакете, а не оквире који су их пренели. Четири провере: тип интерфејса, положај сензора, контекст извора и пут одговора.
Сензор на страни VPN-а види две VLAN мреже огранака као обичан IP саобраћај, а ознака која је идентификовала сваки огранак на његовој сопственој жици је нестала. Управо то рутирани тунел ради: враћа пакете, а не Ethernet оквире који су их доставили. Да ли ознака која недостаје има значај зависи искључиво од питања које постављате сензору. Прођите кроз четири провере испод по реду и знаћете која тачка посматрања може да одговори на њега.
Прво: утврдите шта ваш тунел враћа
TUN интерфејс преноси IP пакете, па се VLAN заглавље оквира огранка зауставља на рутеру који је гурнуо саобраћај у тунел. TAP интерфејс преноси Ethernet оквире, што значи да ознаке могу опстати када мост и правила пропуштања VLAN-а то дозволе. Прочитајте тип интерфејса пре него што закључујете шта снимак треба да садржи.
Ниједан избор није дефект. Два дизајна одговарају на различита питања и остављају ознаку на различитим местима.
Проверите интерфејс сами уместо да га изводите из назива производа. Детаљи везе именују врсту уређаја и показују заставице које су на снази, а снимак узет на TUN уређају неће добити Ethernet заглавље само зато што сте га тражили. Ако се ознаке ипак појаве на TUN снимку, скоро сигурно читате други интерфејс или тунел који преноси оквире унутар свог корисног терета. Забележите у ком сте случају пре него што наставите.
Друго: поставите сензор тамо где објекат још постоји
Три положаја покривају већину рутираних дизајна: Ethernet сегмент огранка, спољна мрежа између крајњих тачака тунела и пут након обраде тунела. Сваки види различит објекат, а ознака постоји само на првом. Избор положаја сензора је одлука о томе који објекат политика тражи, а не питање практичности.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Поставите питање политике у терминима на које табела може да одговори и оно се обично само реши. Ако правило треба да зна из ког огранка пакет долази, мапирање префикса низводно може бити довољно, али само док је то мапирање тачно и недвосмислено. Ако правило треба да зна на који је порт оквир стигао, потребан вам је први положај, јер ништа низводно то не може да реконструише. Сензори постављени из навике, а не из питања, начин су на који тимови на крају траже поље које дизајн никада није носио.
Тунел који преноси Ethernet је другачији дизајн и тражи сопствену проверу онога што крајње тачке чувају или преписују. Само бирање TAP-а још увек не дефинише мост, правила пропуштања VLAN-а ни политику инспекције.
Треће: заслужите контекст извора уместо да му верујете
Један распон адреса по огранку је уобичајена замена за VLAN идентитет и важи само док мапирање остаје један на један. Префикси који се преклапају, превођење и заједнички gateway сваки руше ту претпоставку на начин који изгледа као проблем квалитета података, а не дизајна. Запишите мапирање са његовим границама и реците шта се дешава с пакетом који одговара два реда. Префикс који се појављује у два огранка треба да буде грешка коју откријете, а не бацање новчића које прихватите.
Контекст који пружа клијент није доказ чланства. То је тврдња и припада у другу колону.
Где је разлика важна, користите податке о повезаности које контролишете: која инстанца тунела је прихватила везу, на који интерфејс су пакети стигли, шта локална табела рутирања каже о том партнеру. Ознака коју пружа клијент корисна је назнака и бескористан улаз за ауторизацију. Ако сензор не може да утврди повезаност са своје стране, политици треба шире правило, а не самоуверена претпоставка.
Четврто: потврдите пут одговора и шта дешифровање пропушта
Сензор који види само један смер и даље може да изгледа здрав, јер захтеви стално пристижу по распореду. Проверите пут одговора изричито и проверите га за исти ток, а не за општу доступност. Полудуплексна видљивост постаје тиха празнина у сваком закључку заснованом на стању.
Враћање унутрашњег IP саобраћаја такође није исто што и виђење апликације унутар њега, јер TLS који се преноси тунелом остаје TLS.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Те две команде одговарају на питање интерфејса и показују шта снимак заиста садржи, што је брже од расправе о архитектури. Замените назив интерфејса који користи ваш дизајн и покрените снимање док је ток који вас занима активан. Када се на TUN уређају не појави никаква ознака, налаз је да је дизајн рутирао уместо да премошћује, а не да је сензор испустио податке. Затим или померите сензор на положај који може да види ознаку, или препишите правило у терминима које тренутни положај може да подржи.