PCAP 분석에서 VLAN 태그 누락: 802.1Q 태그, 기본 VLAN, 트렁크 포트, 드라이버 스트리핑 및 잘못된 캡처 지점

VLAN 문제는 DHCP 실패, 응답 누락, 단방향 트래픽 또는 방화벽 중단과 같은 형태로 나타나는 경우가 많습니다. pcap이 스위치 구성과 일치하지 않는 경우 사용자는 "VLAN 태그 누락 pcap", "802.1Q Wireshark 캡처", "네이티브 VLAN 태그 없음", "트렁크 포트 패킷 캡처", "드라이버 스트립 VLAN 태그" 및 "캡처 필터 VLAN이 작동하지 않음"을 검색합니다.

VLAN 증거는 캡처 지점, 드라이버 동작, 필터, 태그 제거 전 또는 후에 패킷이 캡처되었는지 여부에 크게 의존하기 때문에 PCAP 수술은 유용합니다.

802.1Q 태그가 증명하는 것

802.1Q 태그는 이더넷 프레임에서 VLAN ID를 전달합니다. 태그가 표시되면 캡처에 VLAN ID, 우선 순위 비트 및 캡슐화된 이더넷 유형이 표시될 수 있습니다.

태그가 누락된 경우 여러 가지 가능성이 있습니다.

• 패킷에 실제로 태그가 지정되지 않았습니다.
• 기본 VLAN이 태그를 제거했습니다.
• 캡처 지점은 태그 제거 이후입니다.
• 네트워크 드라이버는 pcap이 태그를 보기 전에 태그를 제거했습니다.
• 캡처 필터는 태그가 지정된 프레임을 제외했습니다.
• 미러/SPAN 구성이 프레임을 변경했습니다.
• 가상 스위치는 VLAN이 해제된 트래픽을 제공했습니다.

"pcap에 태그 없음"이 "와이어에 태그 없음"을 의미한다고 가정하지 마십시오.

기본 VLAN 동작

많은 트렁크에서 기본 VLAN 트래픽은 태그 없이 전송됩니다. 이는 모든 트렁크 패킷에 802.1Q 헤더가 표시될 것으로 예상하는 엔지니어를 놀라게 할 수 있습니다.

증상:

• VLAN 10은 태그가 지정된 것으로 나타나고 VLAN 1은 태그가 없는 것으로 나타납니다.
• DHCP는 기본 VLAN에 태그 없이 도착합니다.
• 한쪽에서는 태그가 지정된 기본 VLAN을 기대합니다.
• 스위치는 기본 VLAN에 동의하지 않습니다.
• 태그가 지정되지 않은 프레임은 잘못된 VLAN으로 분류됩니다.

pcap은 스위치 포트 모드 및 기본 VLAN 구성으로 해석되어야 합니다.

드라이버 태그 제거

운영 체제 및 NIC 드라이버는 패킷이 캡처 도구에 도달하기 전에 VLAN 태그를 제거할 수 있습니다. VLAN 하위 인터페이스에서 캡처하면 OS가 이미 분류했기 때문에 태그가 해제된 패킷이 표시될 수 있습니다.

더 나은 증거에는 다음이 필요할 수 있습니다.

• 물리적 인터페이스에서 캡처.
• 가능하다면 VLAN 오프로드를 비활성화합니다.
• 스위치 미러 포트에서 캡처 중입니다.
• 두 트렁크 엔드포인트 모두에서 캡처 중입니다.
• NIC 드라이버 오프로드 설정을 확인하는 중입니다.

PCAP 수술은 다양한 지점에서 캡처를 보존하고 라벨을 붙일 수 있습니다.

캡처 필터 및 VLAN

캡처 필터는 태그가 지정된 프레임에 대해 다르게 작동할 수 있습니다. 태그가 지정되지 않은 IP 트래픽과 일치하는 필터는 필터가 VLAN 헤더를 설명하지 않는 한 태그가 지정된 트래픽을 놓칠 수 있습니다.

증상:

• Ping은 작동하지만 캡처에는 아무것도 표시되지 않습니다.
• 태그가 지정되지 않은 트래픽만 나타납니다.
• 하나의 VLAN에 DHCP가 없습니다.
• 필터를 제거한 후에도 동일한 흐름이 나타납니다.

네트워크를 진단하기 전에 캡처 필터를 검증하십시오.

트렁크에서 VLAN 실수 허용

허용된 트렁크 목록에 VLAN이 없으면 트래픽이 링크를 통과하지 못할 수 있습니다. 한쪽 캡처에서는 프레임이 사라지는 것으로 표시되고 다른 쪽에서는 아무것도 표시되지 않을 수 있습니다.

증거:

• 태그된 프레임은 소스 스위치를 떠납니다.
• 일치하는 프레임이 대상 측에 도착하지 않습니다.
• 다른 VLAN이 작동합니다.
• STP 상태는 VLAN마다 다릅니다.
• 기본 VLAN 불일치 로그가 나타납니다.

이는 호스트 스택 문제가 아니라 네트워크 구성 문제입니다.

가상화 및 클라우드 미러

VM, 컨테이너 및 클라우드 패킷 미러는 VLAN 가시성을 복잡하게 만듭니다.

가능한 문제:

• 하이퍼바이저는 게스트를 캡처하기 전에 태그를 제거합니다.
• 포트 그룹에는 특정 VLAN ID가 필요합니다.
• VM NIC에 대해 트렁크 모드가 활성화되지 않았습니다.
• Cloud Mirror에는 원래 L2 태그가 생략되어 있습니다.
• 컨테이너 브리지에는 태그가 해제된 트래픽만 표시됩니다.

항상 캡처 지점과 가상화 계층을 문서화하세요.

디버그 체크리스트

다음 워크플로를 사용하세요.

1. 예상되는 VLAN ID를 식별합니다.
2. 점령 지점을 식별하세요.
3. 물리적 대 VLAN 하위 인터페이스 캡처를 확인합니다.
4. 기본 VLAN에 태그를 지정하지 않아야 하는지 확인하세요.
5. 캡처 필터를 제거하거나 조정합니다.
6. NIC VLAN 오프로드 동작을 확인하세요.
7. 트렁크 수신 및 송신을 캡처합니다.
8. 스위치 허용 VLAN 구성을 비교하십시오.
9. 태그가 지정된 예와 태그가 없는 예를 보존합니다.
10. 인터페이스 및 포트 모드로 각 pcap에 레이블을 지정합니다.

최종 진단

pcap에서 VLAN 태그가 누락되었다고 해서 자동으로 회선에 VLAN 태그가 누락된 것은 아닙니다. 원인은 기본 VLAN 동작, 드라이버 스트리핑, 캡처 필터, 가상 스위칭 또는 실제로 잘못 구성된 트렁크일 수 있습니다.

PCAP 수술은 VLAN 실패 경로를 증명하는 데 필요한 정확한 태그가 지정된 프레임, 태그가 지정되지 않은 프레임, 캡처 지점 및 흐름 증거를 보존하는 데 도움이 됩니다.