VPN sensörünüz şube VLAN etiketini neden hiç görmez

VPN tarafındaki bir sensör iki şube VLAN’ını sıradan IP trafiği olarak görür ve her şubeyi kendi kablosunda tanımlayan etiket kaybolmuştur. Yönlendirilmiş bir tünelin yaptığı tam olarak budur: paketleri geri kazanır, onları teslim eden Ethernet çerçevelerini değil. Eksik etiketin önemli olup olmadığı tamamen sensöre sorduğunuz soruya bağlıdır. Aşağıdaki dört denetimi sırayla yapın ve hangi gözlem noktasının bunu yanıtlayabileceğini bileceksiniz.

Birincisi: tünelinizin neyi geri kazandığını belirleyin

Bir TUN arayüzü IP paketleri taşır, bu yüzden şube çerçevesinin VLAN başlığı trafiği tünele iten yönlendiricide durur. Bir TAP arayüzü Ethernet çerçeveleri taşır; bu da köprü ve VLAN kabul kuralları geçmelerine izin verdiğinde etiketlerin hayatta kalabileceği anlamına gelir. Bir yakalamanın ne içermesi gerektiği üzerine düşünmeden önce arayüz türünü okuyun.

İki seçenekten hiçbiri kusur değildir. İki tasarım farklı soruları yanıtlar ve etiketi farklı yerlerde bırakır.

Arayüzü ürün adından çıkarsamak yerine kendiniz doğrulayın. Bağlantı ayrıntıları aygıt türünü adlandırır ve yürürlükteki bayrakları gösterir; bir TUN aygıtında alınan yakalama ise sırf istediğiniz için Ethernet başlığı kazanmaz. Yine de bir TUN yakalamasında etiketler görünüyorsa, neredeyse kesinlikle başka bir arayüzü ya da çerçeveleri yükünün içinde taşıyan bir tüneli okuyorsunuz. Devam etmeden önce hangi durumda olduğunuzu not edin.

İkincisi: sensörü nesnenin hâlâ var olduğu yere koyun

Üç konum yönlendirilmiş tasarımların çoğunu kapsar: şubenin Ethernet segmenti, tünel uçları arasındaki dış ağ ve tünel işlemesinden sonraki yol. Her biri farklı bir nesne görür ve etiket yalnızca ilkinde bulunur. Sensör konumu seçmek, politikanın hangi nesneye ihtiyacı olduğuna dair bir karardır, kolaylık meselesi değil.

Politika sorusunu tablonun yanıtlayabileceği terimlerle sorun; genellikle kendi kendine çözülür. Kural bir paketin hangi şubeden geldiğini bilmek zorundaysa, aşağı akıştaki önek eşlemesi yeterli olabilir, ancak yalnızca bu eşleme doğru ve belirsizlikten uzak olduğu sürece. Kural çerçevenin hangi bağlantı noktasına geldiğini bilmek zorundaysa, ilk konuma ihtiyacınız var, çünkü aşağı akışta hiçbir şey bunu yeniden kuramaz. Sensörleri soru yerine alışkanlıkla yerleştirmek, ekiplerin tasarımın hiç taşımadığı bir alanı talep etmesine yol açar.

Ethernet taşıyan bir tünel farklı bir tasarımdır ve uçların neyi koruduğunu ya da yeniden yazdığını kendi başına denetlemeyi gerektirir. Yalnızca TAP seçmek köprüyü, VLAN kabul kurallarını veya denetim politikasını hâlâ tanımlamaz.

Üçüncüsü: kaynak bağlamını ona güvenmek yerine kazanın

Şube başına tek adres aralığı, VLAN kimliğinin olağan yerine geçenidir ve yalnızca eşleme bire bir kaldığı sürece geçerlidir. Örtüşen önekler, çeviri ve paylaşılan bir ağ geçidi, bu varsayımı tasarım sorunu değil veri kalitesi sorunu gibi görünen bir biçimde bozar. Eşlemeyi sınırlarıyla birlikte yazın ve iki satırla eşleşen bir pakete ne olduğunu söyleyin. İki şubede görünen bir önek, kabul ettiğiniz bir yazı tura değil, saptadığınız bir hata olmalıdır.

İstemcinin sağladığı bağlam üyelik kanıtı değildir. Bir iddiadır ve yeri başka bir sütundur.

Ayrımın önemli olduğu yerde, denetlediğiniz ilişkilendirme verilerini kullanın: hangi tünel örneği bağlantıyı kabul etti, paketler hangi arayüze geldi, yerel yönlendirme tablosu o eş hakkında ne diyor. İstemci tarafından sağlanan etiket yararlı bir ipucu ve yararsız bir yetkilendirme girdisidir. Sensör ilişkilendirmeyi kendi tarafından kuramıyorsa, politika kendinden emin bir tahmin yerine daha geniş bir kurala ihtiyaç duyar.

Dördüncüsü: yanıt yolunu ve şifre çözümünün neyi atladığını doğrulayın

Yalnızca tek yön gören bir sensör yine de sağlıklı görünebilir, çünkü istekler zamanında gelmeye devam eder. Yanıt yolunu açıkça denetleyin ve genel erişilebilirlik için değil, aynı akış için denetleyin. Yarı çift yönlü görünürlük, ondan çıkardığınız her durum tabanlı sonuçta sessiz bir boşluğa dönüşür.

İç IP trafiğini geri kazanmak da içindeki uygulamayı görmekle aynı şey değildir, çünkü tünel üzerinden taşınan TLS TLS olarak kalır.

ip -d link show tun0
tcpdump -i tun0 -n -e -c 5

Bu iki komut arayüz sorusunu yanıtlar ve yakalamanın gerçekte ne içerdiğini gösterir; bu, mimariyi tartışmaktan daha hızlıdır. Tasarımınızın kullandığı arayüz adını yerine koyun ve önemsediğiniz akış etkinken yakalamayı çalıştırın. Bir TUN aygıtında hiç etiket görünmediğinde bulgu, sensörün veri düşürdüğü değil, tasarımın köprüleme yerine yönlendirme yaptığıdır. Ardından ya sensörü etiketi görebilen bir konuma taşıyın ya da kuralı mevcut konumun destekleyebileceği terimlerle yeniden yazın.