Yönlendirilmiş bir VPN yakalaması şube VLAN etiketini neden hiç göstermez

Tünel arayüzünde alınan yakalamalar şubenin VLAN ID'sini hiç göstermeyecek ve bu, aracın eksiği değil tasarımın bir özelliğidir. Yönlendirilmiş bir TUN tüneli IP paketleri taşır, bu yüzden onları şube bağlantısında taşıyan etiketli Ethernet çerçevesi, onları yönlendiren yönlendiricide sona erer. Politika sorunuz segmentlerle ilgiliyse, sensör konumu yakalama başlamadan önce o soru için seçilmelidir. Beklediğiniz VLAN alanı, savunabileceğiniz bir bağlamla değiştirilmelidir.

Tünel arayüzünün gerçekte ne taşıdığına bakın

TUN, IP paketlerini ana bilgisayara iletir; TAP, Ethernet çerçevelerini iletir. Yönlendirilmiş tasarım birincisini kullanır; bu, şifre çözmeden sonra gelen paketin hiç bağlantı katmanı başlığı olmadığı ve dolayısıyla okunacak 802.1Q etiketi bulunmadığı anlamına gelir. Yolda hiçbir şey sıyrılmadı, çünkü etiket tünele hiç girmedi. İç paket kendi IP başlığından başlar, bu yüzden VLAN farkında bir kuralın beklediği her alan basitçe yoktur.

Yakalama hakkında tartışmadan önce arayüz türünü doğrulayın, çünkü aynı kurulumdaki bir TAP aygıtı farklı davranacak ve yanlış sonuca sürükleyecektir.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

İlk komut aygıt türünü ve bayraklarını yazdırır. İkincisi ilk yirmi paket için bağlantı katmanı başlıklarını yazdırır ve bir TUN aygıtında çıktı Ethernet bloğu olmadan IP'de başlar, bu da tek ekranda tüm açıklamadır.

TAP seçmek de etiketi geri getirmez. Bir TAP aygıtı çerçeveleri bir köprüye geçirir ve etikete ne olacağı köprünün VLAN filtrelemesine ve bağlantı noktasının yapılandırılmış üyeliğine bağlıdır. Bu, kendi hata modlarına sahip ayrı bir tasarım kararıdır.

Üç yerden birinde durun ve görebildiğini kabul edin

Şubenin Ethernet segmentinde etiket mevcuttur, ancak sensör yalnızca o segmentteki yerel trafiği görür. Dış VPN ağında trafik korunur, bu yüzden bir gözlemci uç noktaları ve hacmi öğrenir, iç paket hakkında hiçbir şey bilmez. Şifre çözmeden sonraki TUN yolunda iç IP paketi, adreslemesi ve bağlantı noktalarıyla birlikte ve şube çerçevesi olmadan kullanılabilir. Bu nedenle aynı akışın trunk üzerindeki yakalaması ile yönlendirilmiş yakalaması iki farklı konuşma gibi görünür.

Bu üç konum üç farklı soruya yanıt verir ve tek bir yakalama aynı anda hepsi olamaz.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Çifti çalıştırın ve karşılaştırın. Birincisi şube bağlantısının ana bilgisayara trunk olduğu yerde etiketli çerçeveleri ve VLAN ID'lerini gösterir; ikincisi aynı konuşmayı yönlendirmeden sonra düz IP olarak gösterir. Birincisi hiçbir şey döndürmezse, ana bilgisayar bağlantı noktasının erişim bağlantı noktası olup olmadığını kontrol edin, çünkü o zaman etiket zaten anahtar tarafından kaldırılmıştır ve ana bilgisayardaki hiçbir yakalama onu asla göstermez.

Eksik etiketi savunabileceğiniz bir eşlemeyle değiştirin

Politika segmentleri IP öneki ile ayırıyorsa, bu eşlemeyi sınırlarıyla birlikte yazın. Çakışan adres aralıkları, kaynak çevirisi ve paylaşılan bir ağ geçidi, her biri tek bir öneki bir paketin gerçekte nereden geldiğini belirlemek için yetersiz kılabilir.

Kontrol ettiğiniz arayüze ve yönlendirme bağlamına güvenin, istemcinin sağladığı bir etikete değil. Bir eşin ayarlayabileceği başlık alanı üyeliğin kanıtı değildir ve onu öyle kabul eden bir denetim kuralı kolayca atlatılır.

ip route get 10.20.30.40
ip -br addr show

İlk komut, çekirdeğin bir hedef için kullanacağı arayüzü ve kaynağı bildirir; bu, segmente bağlılığın yerel görünümüdür. İkincisi her arayüz için adresleri listeler, böylece eşlemenizdeki önekler diyagrama değil gerçekliğe karşı kontrol edilebilir.

Sonuca güvenmeden önce dönüş yolunu ve yükü kontrol edin

Yalnızca bir yönü gören bir denetim noktası konuşmanın yarısını kaçıracaktır ve VPN devreye girdiğinde asimetrik yönlendirme yaygındır. Tek taraflı bir yakalamayı tam saymadan önce yanıtların aynı sensörden geçtiğini doğrulayın.

İç IP paketini kurtarmak, içindeki bir HTTPS oturumunun şifresini de çözmez. Politika sorusu akışlar yerine içerikle ilgiliyse, sensör konumu yeniden kaydırılmalıdır ve bu karar aynı tasarım belgesine aittir.

Sırf bir VLAN alanı görünsün diye sınırsız bir trunk'ı sensöre kadar uzatmak, orijinal soruyu yanıtlamadan ağ sınırını genişletir. Konumu politikanın ihtiyaç duyduğu bilgi için seçin, neleri göremediğini kaydedin ve soru değiştiğinde seçimi yeniden gözden geçirin.