Het die roeteerder tussen twee IPsec-eweknieë IPsec nodig?

'n Laboratoriumoefening wat sê “konfigureer IPsec tussen twee terreine” verberg twee verskillende take. Die twee eindpunte termineer die tonnel: hulle onderhandel, verifieer, versleutel en ontsleutel. Enige roeteerder tussenin stuur pakkette voort waarvan die buitenste kop aan die eindpunte behoort, en dit doen hy sonder om te weet dat die tonnel bestaan.

Om te besluit watter taak van 'n toestel gevra word, is die eerste stap in die oefening. Die meeste verwarring in laboratoriumverslae, en 'n goeie deel van die verwarring in produksiediagramme, kom daarvan dat “ondersteun IPsec” as een eienskap eerder as twee behandel word.

Voortstuur is nie termineer nie

In tonnelmodus is die buitenste IP-kop aan die terminerende toestelle geadresseer. 'n Roeteerder in die middel soek die bestemming op en stuur voort, presies soos vir enige ander pakket, en die loonvrag wat dit dra is ondeursigtig vir hom.

Daardie ondeursigtigheid is doelbewus. Die roeteerder hou nie die eweknie se geheim nie, voer nie 'n onderhandeling uit nie en het nie 'n beleidsdatabasis nodig nie. Hy het 'n roete na die verre eindpunt nodig en toestemming om die pakket voort te stuur.

Om die twee te verwar lei tot werklike foute: om 'n deurvoerfirewall te vra om “IPsec toe te laat” terwyl die werklike vereiste is om protokol 50 tussen spesifieke adresse toe te laat, of om te verwag dat 'n middeltoestel vir inspeksie ontsleutel wanneer dit geen sleutel het nie.

Wat die middeltoestel steeds reg moet kry

Voortstuur het sy eie vereistes. Roetes moet albei eksterne eindpunte bereik, en enige beleid langs die pad moet die werklike buitenste verkeer toelaat eerder as 'n gerate poortnommer. 'n Reël wat teen TCP 443 geskryf is omdat iemand TLS aangeneem het, sal nie by protokol 50 pas nie.

Inheemse ESP is IP-protokol 50. Dit is nie TCP 50 of UDP 50 nie, en 'n reël wat nie-TCP-verkeer blokkeer, sal dit laat val. As die ontwerp UDP-inkapseling gebruik, verander die sigbare vervoer na die inkapselingspoort, en die beleid moet by die gekose ontwerp pas.

Pakketgrootte maak ook saak. 'n Roete wat 'n klein peiling dra, bewys nie dat die volle ingekapselde uitruiling inpas nie. 'n Pad wat groot pakkette laat val, kan die onderhandeling laat slaag en die werklas laat misluk, wat soos 'n toepassingsprobleem lyk. Toets met verkeer van die grootte van die werklike werklas voordat jy die tonnel blameer.

Waarom die simulator die vraag verander

'n Simulator is nie 'n roeteerder met 'n korter funksielys nie; dit is 'n model met 'n gedokumenteerde subset en sy eie reëls oor wat 'n gegewe toestel gekonfigureer kan word om te doen. Cisco se Packet Tracer FAQ is duidelik dat toestelle en protokolle vereenvoudigde modelle is.

So word die vraag drie vrae. Stuur die gesimuleerde toestel die pakkette voort wat die scenario nodig het? Bied dieselfde toestel die konfigurasie-oppervlak wat die les veronderstel? En beteken die aanvaarde opdrag dat die gedrag werklik gesimuleer word, of net geparseer?

'n Afwesige opdrag kan 'n modelbeperking wees eerder as 'n fout in jou konfigurasie. 'n Aanwesige opdrag kan sintaksis aanvaar sonder om elke produksiegedrag te reproduseer. Kontroleer die geïnstalleerde weergawe se toestelhulp voordat jy enige kant toe aflei.

Om 'n slaagvoorwaarde vir die laboratorium te skryf

Vir 'n onderlaag-les is die slaagvoorwaarde bereikbaarheid van die eindpunte plus die buitenste pakkette wat die middeltoestel kruis. Bewys dit met die simulator se eie tellers of 'n pakket-aansig, en noem die protokol wat jy verwag om te sien.

Vir 'n IPsec-les, voeg die onderhandelingstoestand en een beskermde LAN-tot-LAN-vloei by. As die simulator sekuriteitsassosiasies blootstel, teken dit aan. As dit nie doen nie, sê so in die verslag eerder as om te impliseer dat die tonnel geverifieer is.

Hou die simulator-weergawe, die gekose toestelle en die leerdoel by die topologielêer. Daardie rekord is wat iemand anders in staat stel om die oefening te reproduseer en te verstaan watter dele gemodelleer is.

Produksiekonfigurasie het sy eie platformbewyse nodig. 'n Groen gesimuleerde pakket is 'n onderrigresultaat, nie 'n verklaring van versoenbaarheid oor die hardeware wat jy gaan ontplooi nie.