Nega VPN sensoringiz filial VLAN tegini hech qachon ko'rmaydi
Marshrutlangan tunnel paketlarni tiklaydi, ularni yetkazgan freymlarni emas. Interfeys turi, sensor joyi, manba konteksti va javob yo'li bo'yicha to'rtta tekshiruv.
VPN tomonidagi sensor ikkita filial VLANni oddiy IP trafik sifatida ko'radi va har bir filialni o'z simida belgilagan teg yo'qolgan. Marshrutlangan tunnel aynan shuni qiladi: paketlarni tiklaydi, ularni yetkazgan Ethernet freymlarini emas. Yo'qolgan teg muhimmi yoki yo'qmi, bu butunlay sensorga beradigan savolingizga bog'liq. Quyidagi to'rtta tekshiruvni tartib bilan bajaring va qaysi kuzatuv nuqtasi unga javob bera olishini bilib olasiz.
Birinchidan: tunnelingiz nima tiklashini aniqlang
TUN interfeysi IP paketlarni tashiydi, shuning uchun filial freymining VLAN sarlavhasi trafikni tunnelga itargan marshrutizatorda to'xtaydi. TAP interfeysi Ethernet freymlarini tashiydi, ya’ni ko‘prik va VLAN qabul qilish qoidalari o‘tkazishga ruxsat bersa, teglar saqlanib qolishi mumkin. Yozuv nimani o‘z ichiga olishi kerakligi haqida fikr yuritishdan oldin interfeys turini o‘qing.
Ikkala tanlov ham nuqson emas. Ikkala dizayn turli savollarga javob beradi va tegni turli joylarda qoldiradi.
Interfeysni mahsulot nomidan taxmin qilish o'rniga o'zingiz tasdiqlang. Ulanish tafsilotlari qurilma turini nomlaydi va amaldagi bayroqlarni ko'rsatadi, TUN qurilmasida olingan yozuv esa faqat siz so'raganingiz uchun Ethernet sarlavhasiga ega bo'lmaydi. Agar TUN yozuvida baribir teglar paydo bo'lsa, siz deyarli aniq boshqa interfeysni yoki freymlarni o'z yuklamasi ichida tashiyotgan tunnelni o'qiyapsiz. Davom etishdan oldin qaysi holatda ekaningizni qayd eting.
Ikkinchidan: sensorni obyekt hali mavjud joyga qo'ying
Uch pozitsiya marshrutlangan dizaynlarning ko'pini qamrab oladi: filialning Ethernet segmenti, tunnel uchlaridagi tashqi tarmoq va tunnel ishlovidan keyingi yo'l. Har biri boshqa obyektni ko'radi, teg esa faqat birinchisida mavjud. Sensor joyini tanlash siyosatga qaysi obyekt kerakligi haqidagi qaror, qulaylik masalasi emas.
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
Siyosat savolini jadval javob bera oladigan so'zlar bilan qo'ying, va u odatda o'z-o'zidan hal bo'ladi. Agar qoida paket qaysi filialdan kelganini bilishi kerak bo'lsa, pastdagi prefiks xaritasi yetarli bo'lishi mumkin, lekin faqat shu xarita aniq va bir ma'noli bo'lgancha. Agar qoida freym qaysi portga kelganini bilishi kerak bo'lsa, sizga birinchi pozitsiya kerak, chunki pastda hech narsa uni qayta qura olmaydi. Sensorlarni savolga emas, odatga ko'ra joylashtirish jamoalarning dizayn hech qachon ko'tarmagan maydonni talab qilishiga olib keladi.
Ethernet tashiyotgan tunnel boshqa dizayn va uchlar nima saqlashi yoki qayta yozishini o'zicha tekshirishni talab qiladi. Faqat TAP tanlash hali ham ko'prik, VLAN qabul qilish qoidalari yoki tekshiruv siyosatini belgilamaydi.
Uchinchidan: manba kontekstini unga ishonish o'rniga qo'lga kiriting
Har bir filial uchun bitta manzil diapazoni VLAN identifikatsiyasining odatiy o'rnini bosuvchisi va faqat xarita birga-bir bo'lib qolgancha amal qiladi. Ustma-ust tushadigan prefikslar, tarjima va umumiy shlyuz har biri bu farazni dizayn emas, ma'lumot sifati muammosiday ko'rinadigan tarzda buzadi. Xaritani chegaralari bilan yozing va ikki qatorga mos keladigan paketga nima bo'lishini ayting. Ikki filialda ko'rinadigan prefiks siz aniqlaydigan xato bo'lishi kerak, siz qabul qiladigan tanga tashlash emas.
Mijoz taqdim etgan kontekst a'zolikning isboti emas. Bu da'vo, va uning o'rni boshqa ustunda.
Farq muhim bo'lgan joyda o'zingiz nazorat qiladigan bog'lanish ma'lumotlaridan foydalaning: qaysi tunnel nusxasi ulanishni qabul qildi, paketlar qaysi interfeysga keldi, mahalliy marshrut jadvali o'sha hamkor haqida nima deydi. Mijoz taqdim etgan yorliq foydali ishora va ruxsat berish uchun foydasiz kiritma. Agar sensor bog'lanishni o'z tomonidan o'rnata olmasa, siyosatga ishonchli taxmin o'rniga kengroq qoida kerak.
To'rtinchidan: javob yo'lini va shifr ochish nimani o'tkazib yuborishini tasdiqlang
Faqat bir yo'nalishni ko'radigan sensor ham sog'lom ko'rinishi mumkin, chunki so'rovlar jadval bo'yicha kelaveradi. Javob yo'lini aniq tekshiring va uni umumiy yetib borish uchun emas, o'sha oqim uchun tekshiring. Yarim ikki tomonlama ko'rinuvchanlik undan chiqaradigan har bir holatga asoslangan xulosada jim bo'shliqqa aylanadi.
Ichki IP trafikni tiklash ham uning ichidagi ilovani ko'rish bilan bir xil emas, chunki tunnel orqali tashilgan TLS TLS bo'lib qoladi.
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5Bu ikki buyruq interfeys savoliga javob beradi va yozuvda aslida nima borligini ko'rsatadi, bu arxitektura haqida bahslashishdan tezroq. Dizayningiz ishlatadigan interfeys nomini qo'ying va sizga muhim oqim faol bo'lganda yozuvni ishga tushiring. TUN qurilmasida hech qanday teg ko'rinmasa, xulosa sensor ma'lumotni tashlab yuborgani emas, dizayn ko'prik qurish o'rniga marshrutlagani. Keyin yo sensorni tegni ko'ra oladigan joyga ko'chiring, yo qoidani hozirgi joy qo'llab-quvvatlay oladigan so'zlar bilan qayta yozing.