هل يحتاج الموجّه بين طرفي IPsec إلى IPsec؟
يمرّر موجّه العبور الترويسة الخارجية ولا يفكّ التشفير أبدًا. نقاط النهاية تملك تنفيذ IPsec، وقد لا يحاكي المحاكي أيًّا منهما كما تتوقع.
تمرين مختبري يقول «اضبط IPsec بين موقعين» يخفي مهمتين مختلفتين. تنهي الطرفان النفق: فهما يتفاوضان ويتوثّقان ويشفّران ويفكّان التشفير. وأي موجّه بينهما يمرّر حزمًا تعود ترويستها الخارجية إلى الطرفين، ويفعل ذلك دون أن يعرف أن النفق موجود.
تحديد المهمة المطلوبة من جهاز ما هو الخطوة الأولى في التمرين. ومعظم الالتباس في تقارير المختبر، وجزء كبير من الالتباس في مخططات الإنتاج، يأتي من التعامل مع «يدعم IPsec» كخاصية واحدة بدلًا من خاصيتين.
التمرير ليس إنهاءً
في وضع النفق، تُوجَّه ترويسة IP الخارجية إلى الأجهزة التي تنهي النفق. يبحث الموجّه في الوسط عن الوجهة ويمرّر، تمامًا كما يفعل مع أي حزمة أخرى، والحمولة التي يحملها غامضة بالنسبة إليه.
هذا الغموض مقصود. لا يحتفظ الموجّه بسرّ الطرف المقابل، ولا يجري تفاوضًا، ولا يحتاج إلى قاعدة سياسات. يحتاج إلى مسار نحو الطرف البعيد وإذن بتمرير الحزمة.
الخلط بين الأمرين يؤدي إلى أخطاء حقيقية: مطالبة جدار حماية عبور بأن «يسمح بـ IPsec» بينما المطلب الفعلي هو السماح بالبروتوكول 50 بين عناوين محددة، أو توقّع أن يفكّ جهاز وسيط التشفير للتفتيش مع أنه لا يملك مفتاحًا.
ما يجب أن يفعله الجهاز الوسيط بشكل صحيح رغم ذلك
للتمرير متطلباته الخاصة. يجب أن تصل المسارات إلى الطرفين الخارجيين، وأي سياسة على طول المسار يجب أن تسمح بالحركة الخارجية الفعلية بدلًا من رقم منفذ مفترض. القاعدة المكتوبة مقابل TCP 443 لأن أحدهم افترض TLS لن تطابق البروتوكول 50.
ESP الأصلي هو البروتوكول IP 50. إنه ليس TCP 50 وليس UDP 50، والقاعدة التي تحجب حركة ليست TCP ستُسقطه. إذا استخدم التصميم تغليف UDP، يتغيّر النقل المرئي إلى منفذ التغليف، ويجب أن تطابق السياسة التصميم المختار.
حجم الحزمة مهم أيضًا. المسار الذي يحمل مسبارًا صغيرًا لا يثبت أن التبادل المغلف الكامل يتسع فيه. المسار الذي يُسقط الحزم الكبيرة قد يترك التفاوض ينجح وحمل العمل يفشل، وهو ما يبدو مشكلة في التطبيق. اختبر بحركة بحجم حمل العمل الحقيقي قبل أن تلوم النفق.
لماذا يغيّر المحاكي السؤال
المحاكي ليس موجّهًا بقائمة ميزات أقصر؛ إنه نموذج بمجموعة فرعية موثّقة وبقواعده الخاصة حول ما يمكن تكوين جهاز معيّن ليفعله. تذكر الأسئلة الشائعة لـ Packet Tracer من Cisco صراحةً أن الأجهزة والبروتوكولات نماذج مبسّطة.
وهكذا يصبح السؤال ثلاثة أسئلة. هل يمرّر الجهاز المحاكى الحزم التي يحتاجها السيناريو؟ هل يوفّر الجهاز نفسه واجهة التكوين التي يفترضها الدرس؟ وهل تعني الأمر المقبول أن السلوك محاكى فعلًا أم أنه محلَّل نحويًا فقط؟
قد يكون الأمر الغائب حدًّا للنموذج لا خطأً في تكوينك. وقد يقبل الأمر الموجود الصياغة دون إعادة إنتاج كل سلوك الإنتاج. تحقّق من تعليمات الجهاز في النسخة المثبّتة قبل أن تستنتج في أي اتجاه.
كتابة شرط نجاح للمختبر
في درس underlay، شرط النجاح هو الوصول إلى الطرفين مع مرور الحزم الخارجية عبر الجهاز الوسيط. أثبت ذلك بعدّادات المحاكي نفسه أو بعرض الحزم، وسمِّ البروتوكول الذي تتوقع رؤيته.
في درس IPsec، أضف حالة التفاوض وتدفقًا واحدًا محميًا من LAN إلى LAN. إذا أظهر المحاكي ارتباطات أمان فسجّلها. وإذا لم يُظهرها فقل ذلك في التقرير بدلًا من الإيحاء بأن النفق تم التحقق منه.
احفظ إصدار المحاكي والأجهزة المختارة والهدف التعليمي مع ملف الطوبولوجيا. هذا السجل هو ما يتيح لشخص آخر إعادة إنتاج التمرين وفهم الأجزاء التي تمت محاكاتها.
يحتاج تكوين الإنتاج إلى أدلة منصته الخاصة. الحزمة المحاكاة الخضراء نتيجة تعليمية، وليست تصريحًا بالتوافق مع العتاد الذي ستنشره.