Vì sao bản ghi VPN định tuyến không bao giờ hiển thị thẻ VLAN của chi nhánh

Các bản ghi được chụp trên giao diện đường hầm sẽ không bao giờ hiển thị ID VLAN của chi nhánh, và đó là một thuộc tính của thiết kế chứ không phải lỗ hổng của công cụ. Đường hầm TUN định tuyến mang gói IP, nên khung Ethernet có gắn thẻ đã mang chúng trên liên kết chi nhánh kết thúc tại bộ định tuyến đã định tuyến chúng. Nếu câu hỏi chính sách của bạn liên quan đến phân đoạn, vị trí cảm biến phải được chọn cho câu hỏi đó trước khi bản ghi bắt đầu. Trường VLAN mà bạn mong đợi phải được thay bằng ngữ cảnh mà bạn có thể bảo vệ.

Hãy xem giao diện đường hầm thực sự mang gì

TUN giao gói IP cho máy chủ; TAP giao khung Ethernet. Thiết kế định tuyến dùng cái thứ nhất, nghĩa là gói đến sau khi giải mã hoàn toàn không có tiêu đề lớp liên kết, và do đó không có thẻ 802.1Q để đọc. Không có gì bị bóc trên đường đi, vì thẻ chưa bao giờ đi vào đường hầm. Gói bên trong bắt đầu từ tiêu đề IP của nó, nên mọi trường mà một quy tắc hiểu VLAN mong đợi đều vắng mặt.

Xác nhận loại giao diện trước khi tranh luận về bản ghi, vì một thiết bị TAP trong cùng triển khai sẽ hành xử khác và dẫn đến kết luận sai.

ip -d link show tun0
tcpdump -i tun0 -nn -e -c 20

Lệnh đầu tiên in loại thiết bị và các cờ của nó. Lệnh thứ hai in tiêu đề lớp liên kết cho hai mươi gói đầu tiên, và trên thiết bị TUN đầu ra bắt đầu ở IP mà không có khối Ethernet, đó là toàn bộ lời giải thích trên một màn hình.

Chọn TAP cũng không khôi phục thẻ. Thiết bị TAP chuyển khung đến một cầu nối, và điều gì xảy ra với thẻ phụ thuộc vào lọc VLAN của cầu nối và tư cách thành viên đã cấu hình của cổng. Đó là một quyết định thiết kế riêng với các chế độ lỗi riêng.

Hãy đứng ở một trong ba vị trí và chấp nhận những gì nó có thể thấy

Trên phân đoạn Ethernet của chi nhánh, thẻ có mặt, nhưng cảm biến chỉ thấy lưu lượng cục bộ trên phân đoạn đó. Trên mạng VPN bên ngoài lưu lượng được bảo vệ, nên người quan sát chỉ biết các điểm cuối và khối lượng và không biết gì về gói bên trong. Trên đường TUN sau khi giải mã, gói IP bên trong có sẵn, cùng với địa chỉ và cổng của nó, và không có khung của chi nhánh. Vì vậy bản ghi trên trunk và bản ghi định tuyến của cùng một luồng trông giống hai cuộc trò chuyện khác nhau.

Ba vị trí đó trả lời ba câu hỏi khác nhau, và một bản ghi không thể là tất cả cùng lúc.

tcpdump -i eth0 -nn -e 'vlan' -c 10
tcpdump -i tun0 -nn -c 10

Chạy cặp lệnh và so sánh. Lệnh đầu hiển thị khung có gắn thẻ và ID VLAN của chúng ở nơi liên kết chi nhánh được trunk tới máy chủ; lệnh thứ hai hiển thị cùng cuộc trò chuyện đó dưới dạng IP thuần sau khi định tuyến. Nếu lệnh đầu không trả về gì, hãy kiểm tra xem cổng máy chủ có phải là cổng truy cập không, vì khi đó thẻ đã bị thiết bị chuyển mạch gỡ bỏ và không bản ghi nào trên máy chủ sẽ hiển thị nó.

Thay thế thẻ bị thiếu bằng một ánh xạ mà bạn có thể bảo vệ

Nếu chính sách phân biệt các phân đoạn theo tiền tố IP, hãy ghi lại ánh xạ đó cùng với các giới hạn của nó. Các dải địa chỉ chồng lấn, dịch địa chỉ nguồn và một cổng chung đều có thể khiến một tiền tố không đủ để xác định gói thực sự đến từ đâu.

Hãy tin vào giao diện và ngữ cảnh định tuyến mà bạn kiểm soát, không tin vào nhãn do máy khách cung cấp. Một trường tiêu đề mà đối tác có thể đặt không phải là bằng chứng về tư cách thành viên, và quy tắc kiểm tra coi nó như vậy sẽ bị vượt qua dễ dàng.

ip route get 10.20.30.40
ip -br addr show

Lệnh đầu tiên báo cáo giao diện và nguồn mà nhân sẽ dùng cho một đích, đó là góc nhìn cục bộ về việc gắn vào phân đoạn. Lệnh thứ hai liệt kê địa chỉ theo từng giao diện để các tiền tố trong ánh xạ của bạn có thể được kiểm tra với thực tế thay vì với sơ đồ.

Hãy kiểm tra đường quay về và tải trọng trước khi tin vào kết quả

Một điểm kiểm tra chỉ thấy một hướng sẽ bỏ sót nửa cuộc trò chuyện, và định tuyến không đối xứng là phổ biến khi có VPN tham gia. Hãy xác nhận các phản hồi đi qua cùng cảm biến trước khi coi một bản ghi một chiều là đầy đủ.

Việc khôi phục gói IP bên trong cũng không giải mã một phiên HTTPS bên trong nó. Nếu câu hỏi chính sách liên quan đến nội dung thay vì luồng, vị trí cảm biến phải di chuyển lần nữa, và quyết định đó thuộc về cùng tài liệu thiết kế.

Kéo dài một trunk không giới hạn đến cảm biến chỉ để một trường VLAN xuất hiện sẽ mở rộng ranh giới mạng mà không trả lời câu hỏi ban đầu. Hãy chọn vị trí cho thông tin mà chính sách cần, ghi lại những gì nó không thể thấy, và xem xét lại lựa chọn khi câu hỏi thay đổi.