Tag VLAN ausente na análise PCAP: tags 802.1Q, VLAN nativa, portas de tronco, remoção de driver e ponto de captura errado

Os problemas de VLAN geralmente se parecem com falha de DHCP, respostas ausentes, tráfego unidirecional ou quedas de firewall. Os usuários procuram por "tag VLAN faltando pcap", "802.1Q Wireshark capture", "VLAN nativa não marcada", "captura de pacote de porta tronco", "driver strips VLAN tag" e "capture filter vlan not working" quando o pcap não corresponde à configuração do switch.

A cirurgia PCAP é útil porque a evidência da VLAN depende muito do ponto de captura, do comportamento do driver, dos filtros e se o pacote foi capturado antes ou depois da remoção da tag.

O que uma etiqueta 802.1Q prova

Uma tag 802.1Q carrega identidade VLAN no quadro Ethernet. Se a tag estiver visível, a captura poderá mostrar o ID da VLAN, bits de prioridade e tipo de éter encapsulado.

Se a tag estiver faltando, existem várias possibilidades:

• O pacote está verdadeiramente sem etiqueta.
• A VLAN nativa removeu a tag.
• O ponto de captura ocorre após a remoção da tag.
• O driver de rede retirou a tag antes que o pcap a visse.
• Filtro de captura de quadros marcados excluídos.
• A configuração Mirror/SPAN alterou o quadro.
• O switch virtual apresentou tráfego desVLANizado.

Não presuma que "sem etiqueta no pcap" significa "sem etiqueta no fio".

Comportamento nativo da VLAN

Em muitos troncos, o tráfego VLAN nativo é enviado sem etiqueta. Isso pode surpreender os engenheiros que esperam que cada pacote de tronco mostre um cabeçalho 802.1Q.

Sintomas:

• A VLAN 10 aparece marcada, a VLAN 1 parece não marcada.
• O DHCP chega sem marcação na VLAN nativa.
• Um lado espera uma VLAN nativa marcada.
• Os switches discordam na VLAN nativa.
• Os quadros não marcados são classificados na VLAN errada.

O pcap deve ser interpretado com modo de porta de switch e configuração de VLAN nativa.

Remoção de tag de driver

Os sistemas operacionais e drivers de NIC podem remover tags de VLAN antes que os pacotes cheguem à ferramenta de captura. A captura em uma subinterface VLAN pode mostrar pacotes desmarcados porque o sistema operacional já os classificou.

Melhores evidências podem exigir:

• Captura na interface física.
• Desativando o descarregamento de VLAN, se possível.
• Capturando em uma porta espelho do switch.
• Captura em ambos os endpoints do tronco.
• Verificando as configurações de descarregamento do driver NIC.

A Cirurgia PCAP pode preservar e rotular capturas de diferentes pontos.

Capturar filtros e VLAN

Os filtros de captura podem se comportar de maneira diferente para quadros marcados. Um filtro que corresponda ao tráfego IP não marcado pode perder o tráfego marcado, a menos que o filtro leve em conta os cabeçalhos da VLAN.

Sintomas:

• O ping funciona, mas a captura não mostra nada.
• Somente o tráfego não marcado é exibido.
• O DHCP está faltando em uma VLAN.
• O mesmo fluxo aparece após a remoção do filtro.

Antes de diagnosticar a rede, valide o filtro de captura.

Tronco permitiu erros de VLAN

Se uma VLAN estiver faltando nas listas de troncos permitidos, o tráfego nunca poderá cruzar o link. Uma captura de um lado pode mostrar a saída de quadros, enquanto o outro lado não vê nada.

Evidência:

• Os quadros marcados saem do switch de origem.
• Nenhum quadro correspondente chega ao destino.
• Outras VLANs funcionam.
• O estado STP difere por VLAN.
• Os logs de incompatibilidade de VLAN nativa são exibidos.

Este é um problema de configuração de rede, não um problema de pilha de host.

Virtualização e espelhos de nuvem

VMs, contêineres e espelhos de pacotes em nuvem complicam a visibilidade da VLAN.

Possíveis problemas:

• O hipervisor remove a tag antes da captura do convidado.
• O grupo de portas espera um ID de VLAN específico.
• Modo de tronco não habilitado para VM NIC.
• O espelho da nuvem omite a tag L2 original.
• A ponte de contêiner vê apenas tráfego sem tags.

Sempre documente o ponto de captura e a camada de virtualização.

Lista de verificação de depuração

Use este fluxo de trabalho:

1. Identifique o ID de VLAN esperado.
2. Identifique o ponto de captura.
3. Confirme a captura de subinterface física versus VLAN.
4. Verifique se a VLAN nativa deve ser desmarcada.
5. Remova ou ajuste filtros de captura.
6. Verifique o comportamento de descarregamento da NIC VLAN.
7. Captura na entrada e saída do tronco.
8. Compare a configuração de VLAN permitida pelo switch.
9. Preservar exemplos marcados e não marcados.
10. Rotule cada pcap com interface e modo de porta.

Diagnóstico final

A falta de tags VLAN em um pcap não significa automaticamente a falta de tags VLAN na conexão. A causa pode ser comportamento nativo da VLAN, remoção de driver, filtros de captura, comutação virtual ou um tronco verdadeiramente mal configurado.

A cirurgia PCAP ajuda a preservar os quadros marcados exatos, os quadros não marcados, os pontos de captura e as evidências de fluxo necessárias para provar o caminho da falha da VLAN.