Balise VLAN manquante dans l'analyse PCAP : balises 802.1Q, VLAN natif, ports de liaison, suppression de pilote et point de capture incorrect

Les problèmes de VLAN ressemblent souvent à une défaillance DHCP, à des réponses manquantes, à un trafic unidirectionnel ou à des suppressions de pare-feu. Les utilisateurs recherchent « balise VLAN pcap manquante », « capture Wireshark 802.1Q », « VLAN natif non balisé », « capture de paquets de port de jonction », « balise VLAN de bandes de pilotes » et « vlan de filtre de capture ne fonctionne pas » lorsque le pcap ne correspond pas à la configuration du commutateur.

La chirurgie PCAP est utile car la preuve VLAN dépend fortement du point de capture, du comportement du pilote, des filtres et du fait que le paquet a été capturé avant ou après la suppression des balises.

Ce que prouve une balise 802.1Q

Une balise 802.1Q porte l'identité du VLAN dans la trame Ethernet. Si la balise est visible, la capture peut afficher l'ID du VLAN, les bits de priorité et le type d'éther encapsulé.

Si la balise est manquante, plusieurs possibilités existent :

• Le paquet n'est vraiment pas étiqueté.
• Le VLAN natif a supprimé la balise.
• Le point de capture se situe après la suppression des balises.
• Le pilote réseau a supprimé la balise avant que pcap ne la voie.
• Le filtre de capture excluait les images marquées.
• La configuration miroir/SPAN a modifié le cadre.
• Le commutateur virtuel présentait le trafic dé-VLAN.

Ne présumez pas que « aucune balise dans pcap » signifie « aucune balise sur le fil ».

Comportement du VLAN natif

Sur de nombreuses lignes réseau, le trafic VLAN natif est envoyé sans balise. Cela peut surprendre les ingénieurs qui s'attendent à ce que chaque paquet de lignes réseau affiche un en-tête 802.1Q.

Symptômes:

• Le VLAN 10 apparaît balisé, le VLAN 1 apparaît non balisé.
• DHCP arrive sans balise sur le VLAN natif.
• Un côté s’attend à un VLAN natif balisé.
• Les commutateurs ne sont pas d'accord sur le VLAN natif.
• Les trames non balisées sont classées dans le mauvais VLAN.

Le pcap doit être interprété avec le mode de port de commutation et la configuration VLAN native.

Suppression des balises de pilote

Les systèmes d'exploitation et les pilotes de carte réseau peuvent supprimer les balises VLAN avant que les paquets n'atteignent l'outil de capture. La capture sur une sous-interface VLAN peut afficher des paquets non balisés car le système d'exploitation les a déjà classés.

De meilleures preuves peuvent nécessiter :

• Capture sur l'interface physique.
• Désactiver le déchargement VLAN si possible.
• Capture sur un port miroir de commutateur.
• Capture sur les deux points de terminaison du réseau.
• Vérification des paramètres de déchargement du pilote NIC.

PCAP Surgery peut conserver et étiqueter les captures de différents points.

Filtres de capture et VLAN

Les filtres de capture peuvent se comporter différemment pour les images balisées. Un filtre qui correspond au trafic IP non balisé peut manquer le trafic balisé à moins que le filtre ne prenne en compte les en-têtes VLAN.

Symptômes:

• Ping fonctionne mais la capture ne montre rien.
• Seul le trafic non balisé apparaît.
• DHCP est absent d'un VLAN.
• Le même flux apparaît après le retrait du filtre.

Avant de diagnostiquer le réseau, validez le filtre de capture.

Erreurs de VLAN autorisées par le tronc

Si un VLAN est absent des listes de lignes réseau autorisées, le trafic ne peut jamais traverser la liaison. Une capture d'un côté peut montrer des images sortantes, tandis que l'autre côté ne voit rien.

Preuve:

• Les trames marquées quittent le commutateur de source.
• Aucune trame correspondante n’arrive du côté destination.
• D'autres VLAN fonctionnent.
• L'état STP diffère selon le VLAN.
• Les journaux d'incompatibilité de VLAN natif s'affichent.

Il s'agit d'un problème de configuration réseau et non d'un problème de pile hôte.

Virtualisation et miroirs cloud

Les machines virtuelles, les conteneurs et les miroirs de paquets cloud compliquent la visibilité des VLAN.

Problèmes possibles :

• L’hyperviseur supprime la balise avant la capture de l’invité.
• Le groupe de ports attend un ID de VLAN spécifique.
• Le mode Trunk n'est pas activé pour la carte réseau de la VM.
• Le miroir Cloud omet la balise L2 d'origine.
• Le pont à conteneurs ne voit que le trafic sans étiquette.

Documentez toujours le point de capture et la couche de virtualisation.

Liste de contrôle de débogage

Utilisez ce flux de travail :

1. Identifiez l’ID de VLAN attendu.
2. Identifiez le point de capture.
3. Confirmez la capture de la sous-interface physique ou VLAN.
4. Vérifiez si le VLAN natif ne doit pas être balisé.
5. Supprimez ou ajustez les filtres de capture.
6. Vérifiez le comportement de déchargement du VLAN de la carte réseau.
7. Capturez à l’entrée et à la sortie du tronc.
8. Comparez la configuration VLAN autorisée par le commutateur.
9. Conservez les exemples balisés et non balisés.
10. Étiquetez chaque pcap avec l’interface et le mode de port.

Diagnostic final

Des balises VLAN manquantes dans un pcap ne signifient pas automatiquement des balises VLAN manquantes sur le câble. La cause peut être un comportement natif du VLAN, une suppression de pilotes, des filtres de capture, une commutation virtuelle ou une jonction vraiment mal configurée.

PCAP Surgery aide à préserver les trames balisées exactes, les trames non balisées, les points de capture et les preuves de flux nécessaires pour prouver le chemin de défaillance du VLAN.