Nega marshrutlangan VPN yozuvi filial VLAN tegini hech qachon ko'rsatmaydi

Tunnel interfeysida olingan yozuvlar hech qachon filialning VLAN ID sini ko'rsatmaydi va bu vositaning kamchiligi emas, dizaynning xususiyati. Marshrutlangan TUN tunneli IP paketlarni olib yuradi, shuning uchun ularni filial aloqasida olib yurgan teglangan Ethernet freymi ularni marshrutlagan routerda tugaydi. Agar siyosat savolingiz segmentlar haqida bo'lsa, sensor joylashuvi yozuv boshlanishidan oldin shu savol uchun tanlanishi kerak. Kutgan VLAN maydoni siz himoya qila oladigan kontekst bilan almashtirilishi kerak.

Tunnel interfeysi aslida nima olib yurishini ko'ring

TUN IP paketlarni xostga yetkazadi; TAP Ethernet freymlarni yetkazadi. Marshrutlangan dizayn birinchisidan foydalanadi, ya'ni shifr ochilgandan keyin kelgan paketda bog'lanish qatlami sarlavhasi umuman yo'q, shuning uchun o'qish uchun 802.1Q tegi ham yo'q. Yo'lda hech narsa olib tashlanmadi, chunki teg tunnelga hech qachon kirmagan. Ichki paket o'z IP sarlavhasidan boshlanadi, shuning uchun VLANdan xabardor qoida kutgan har bir maydon shunchaki yo'q.

Yozuv haqida bahslashishdan oldin interfeys turini tasdiqlang, chunki xuddi shu joylashuvdagi TAP qurilmasi boshqacha harakat qiladi va noto'g'ri xulosaga olib keladi.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Birinchi buyruq qurilma turini va uning bayroqlarini chiqaradi. Ikkinchisi birinchi yigirma paket uchun bog'lanish qatlami sarlavhalarini chiqaradi va TUN qurilmasida chiqish Ethernet blokisiz IP dan boshlanadi, bu bir ekranda butun tushuntirishdir.

TAP tanlash ham tegni qaytarmaydi. TAP qurilmasi freymlarni ko'prikka uzatadi va teg bilan nima bo'lishi ko'prikning VLAN filtrlashiga va portning sozlangan a'zoligiga bog'liq. Bu o'z nosozlik rejimlariga ega alohida dizayn qaroridir.

Uch joydan birida turing va u nima ko'ra olishini qabul qiling

Filialning Ethernet segmentida teg mavjud, lekin sensor faqat shu segmentdagi mahalliy trafikni ko'radi. Tashqi VPN tarmog'ida trafik himoyalangan, shuning uchun kuzatuvchi faqat chekka nuqtalar va hajmni bilib oladi, ichki paket haqida hech narsa bilmaydi. Shifr ochilgandan keyin TUN yo'lida ichki IP paket uning manzillanishi va portlari bilan birga mavjud va filial freymi yo'q. Shuning uchun bir oqimning trunkdagi yozuvi va marshrutlangan yozuvi ikki xil suhbat kabi ko'rinadi.

Bu uch joylashuv uch xil savolga javob beradi va bitta yozuv bir vaqtning o'zida uchalasi bo'la olmaydi.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Juftlikni ishga tushiring va solishtiring. Birinchisi filial aloqasi xostga trunk bo'lgan joyda teglangan freymlarni va ularning VLAN ID larini ko'rsatadi; ikkinchisi xuddi shu suhbatni marshrutlashdan keyin oddiy IP sifatida ko'rsatadi. Agar birinchisi hech narsa qaytarmasa, xost porti kirish porti ekanligini tekshiring, chunki u holda teg allaqachon kommutator tomonidan olib tashlangan va xostdagi hech qanday yozuv uni hech qachon ko'rsatmaydi.

Yo'qolgan tegni siz himoya qila oladigan xaritalash bilan almashtiring

Agar siyosat segmentlarni IP prefiksi bo'yicha ajratsa, bu xaritalashni uning chegaralari bilan yozib qo'ying. Bir-biriga to'g'ri keladigan manzil diapazonlari, manba tarjimasi va umumiy shlyuz har biri bitta prefiksni paket haqiqatan qayerdan kelganini aniqlash uchun yetarli bo'lmay qolishiga olib kelishi mumkin.

O'zingiz boshqaradigan interfeys va marshrutlash kontekstiga ishoning, mijoz bergan yorliqqa emas. Tengdosh o'rnatishi mumkin bo'lgan sarlavha maydoni a'zolikning dalili emas va uni shunday deb qaraydigan tekshiruv qoidasini chetlab o'tish oson.

ip route get 10.20.30.40
ip -br addr show

Birinchi buyruq yadro qanday maqsad uchun qaysi interfeys va manbani ishlatishini xabar qiladi, bu segmentga ulanishning mahalliy ko'rinishidir. Ikkinchisi har bir interfeys bo'yicha manzillarni sanab chiqadi, shunda xaritalashingizdagi prefikslar diagrammaga emas, voqelikka qarab tekshiriladi.

Natijaga ishonishdan oldin qaytish yo'lini va yukni tekshiring

Faqat bir yo'nalishni ko'radigan tekshiruv nuqtasi suhbatning yarmini o'tkazib yuboradi va VPN ishtirok etganda assimetrik marshrutlash odatiy holdir. Bir tomonlama yozuvni to'liq deb hisoblashdan oldin javoblar o'sha sensordan o'tishini tasdiqlang.

Ichki IP paketni tiklash uning ichidagi HTTPS seansini ham shifrdan chiqarmaydi. Agar siyosat savoli oqimlar emas, mazmun haqida bo'lsa, sensor joylashuvini yana ko'chirish kerak va bu qaror o'sha dizayn hujjatiga tegishli.

Faqat VLAN maydoni ko'rinishi uchun cheklanmagan trunkni sensorgacha uzaytirish asl savolga javob bermasdan tarmoq chegarasini kengaytiradi. Joylashuvni siyosatga kerak bo'lgan ma'lumot uchun tanlang, u nima ko'ra olmasligini yozib qo'ying va savol o'zgarganda tanlovni qayta ko'rib chiqing.