Тег VLAN отсутствует в анализе PCAP: теги 802.1Q, собственная VLAN, магистральные порты, удаление драйверов и неверная точка захвата

---

Проблемы VLAN часто выглядят как сбой DHCP, отсутствие ответов, односторонний трафик или сбой брандмауэра. Пользователи ищут «отсутствует тег VLAN pcap», «захват 802.1Q Wireshark», «собственная VLAN без тегов», «захват пакетов магистрального порта», «драйвер удаляет тег VLAN» и «фильтр захвата VLAN не работает», когда pcap не соответствует конфигурации коммутатора.

PCAP Surgery полезен, поскольку доказательства VLAN во многом зависят от точки захвата, поведения драйвера, фильтров, а также от того, был ли пакет захвачен до или после удаления тегов.

Что доказывает тег 802.1Q

Тег 802.1Q передает идентификатор VLAN в кадре Ethernet. Если тег виден, при захвате может отображаться идентификатор VLAN, биты приоритета и инкапсулированный тип Ethernet.

Если тег отсутствует, существует несколько возможностей:

• Пакет действительно немаркирован.
• Собственный VLAN удалил тег.
• Точка захвата — после удаления тегов.
• Сетевой драйвер удалил тег до того, как его увидел PCAP.
• Фильтр захвата исключил кадры с тегами.
• Конфигурация Mirror/SPAN изменила кадр.
• Виртуальный коммутатор представлял трафик без VLAN.

Не думайте, что «нет тега в pcap» означает «нет тега на проводе».

Поведение собственной VLAN

Во многих транках собственный трафик VLAN передается без тегов. Это может удивить инженеров, которые ожидают, что каждый магистральный пакет будет содержать заголовок 802.1Q.

Симптомы:

• VLAN 10 отображается с тегом, VLAN 1 отображается без тега.
• DHCP поступает без тегов в собственную VLAN.
• Одна сторона ожидает тегированную собственную VLAN.
• Коммутаторы не согласны с собственной VLAN.
• Немаркированные кадры относятся к неправильной VLAN.

pcap следует интерпретировать с учетом режима порта коммутатора и собственной конфигурации VLAN.

Удаление тегов драйверов

Операционные системы и драйверы сетевых карт могут удалять теги VLAN до того, как пакеты достигнут инструмента перехвата. При захвате субинтерфейса VLAN могут отображаться пакеты без тегов, поскольку операционная система уже классифицировала их.

Для получения более качественных доказательств могут потребоваться:

• Захват на физическом интерфейсе.
• Если возможно, отключите разгрузку VLAN.
• Захват зеркального порта коммутатора.
• Захват на обеих конечных точках магистрали.
• Проверка настроек выгрузки драйвера сетевой карты.

PCAP Surgery может сохранять и маркировать снимки из разных точек.

Фильтры захвата и VLAN

Фильтры захвата могут вести себя по-разному для кадров с тегами. Фильтр, соответствующий нетегированному IP-трафику, может пропускать тегированный трафик, если фильтр не учитывает заголовки VLAN.

Симптомы:

• Пинг работает, но захват ничего не показывает.
• Появляется только нетегированный трафик.
• DHCP отсутствует в одной VLAN.
• Тот же поток появляется после удаления фильтра.

Перед диагностикой сети проверьте фильтр захвата.

Магистральная линия допускает ошибки VLAN

Если VLAN отсутствует в списках разрешенных соединительных линий, трафик может никогда не пройти по каналу. При захвате с одной стороны может быть видно, что кадры уходят, а другая сторона ничего не видит.

Доказательство:

• Tagged frames leave source switch.
• На сторону назначения не поступает ни одного подходящего кадра.
• Другие VLAN работают.
• Состояние STP различается в зависимости от VLAN.
• Появятся журналы несоответствия собственных VLAN.

Это проблема конфигурации сети, а не проблема стека хоста.

Виртуализация и облачные зеркала

Виртуальные машины, контейнеры и зеркала облачных пакетов усложняют видимость VLAN.

Возможные проблемы:

• Гипервизор удаляет теги перед захватом гостя.
• Группа портов ожидает определенный идентификатор VLAN.
• Режим магистральной линии не включен для сетевого адаптера виртуальной машины.
• В облачном зеркале отсутствует оригинальный тег L2.
• Контейнерный мост видит только трафик без тегов.

Всегда документируйте точку захвата и уровень виртуализации.

Контрольный список отладки

Используйте этот рабочий процесс:

1. Определите ожидаемый идентификатор VLAN.
2. Определить точку захвата.
3. Подтвердите захват физического и VLAN-субинтерфейса.
4. Проверьте, должна ли собственная VLAN быть немаркированной.
5. Удалите или настройте фильтры захвата.
6. Проверьте поведение разгрузки NIC VLAN.
7. Захват на входе и выходе магистрали.
8. Коммутатор сравнения позволяет настроить VLAN.
9. Сохраняйте примеры с тегами и без тегов.
10. Пометьте каждый PCAP интерфейсом и режимом порта.

Окончательный диагноз

Отсутствие тегов VLAN в pcap не означает автоматически отсутствие тегов VLAN в проводе. Причиной может быть поведение собственной VLAN, удаление драйверов, фильтры захвата, виртуальное переключение или действительно неправильно настроенная магистраль.

PCAP Surgery помогает сохранить точные кадры с тегами, кадры без тегов, точки захвата и доказательства потока, необходимые для доказательства пути отказа VLAN.