İki IPsec tərəfdaşı arasındakı marşrutlaşdırıcıya IPsec lazımdırmı?

«İki sahə arasında IPsec konfiqurasiya edin» deyən laboratoriya tapşırığı iki fərqli işi gizlədir. İki son nöqtə tuneli bitirir: onlar danışıq aparır, autentifikasiya edir, şifrələyir və şifrəni açır. Aradakı hər hansı marşrutlaşdırıcı xarici başlığı son nöqtələrə aid olan paketləri ötürür və bunu tunelin mövcud olduğunu bilmədən edir.

Cihazdan hansı işin tələb olunduğuna qərar vermək tapşırığın ilk addımıdır. Laboratoriya hesabatlarındakı çaşqınlığın çoxu və istehsal diaqramlarındakı çaşqınlığın xeyli hissəsi «IPsec dəstəkləyir» ifadəsinin iki deyil, bir xüsusiyyət kimi qəbul edilməsindən irəli gəlir.

Ötürmə bitirmə deyil

Tunel rejimində xarici IP başlığı tuneli bitirən cihazlara ünvanlanır. Ortadakı marşrutlaşdırıcı təyinatı tapır və ötürür, hər hansı digər paketdə olduğu kimi, daşıdığı faydalı yük isə onun üçün qeyri-şəffafdır.

Bu qeyri-şəffaflıq qəsdəndir. Marşrutlaşdırıcı tərəfdaşın sirrini saxlamır, danışıqlar aparmır və siyasət bazasına ehtiyac duymur. Ona uzaq son nöqtəyə marşrut və paketi ötürmək icazəsi lazımdır.

İkisini qarışdırmaq real səhvlərə gətirir: faktiki tələb konkret ünvanlar arasında 50 protokoluna icazə vermək ikən tranzit firewall-dan «IPsec-ə icazə ver» istəmək və ya açarı olmadığı halda ara cihazın yoxlama üçün şifrəni açmasını gözləmək.

Ara cihaz yenə də nəyi düzgün etməlidir

Ötürmənin öz tələbləri var. Marşrutlar hər iki xarici son nöqtəyə çatmalıdır, və yoldakı hər hansı siyasət təxmin edilən port nömrəsi deyil, faktiki xarici trafikə icazə verməlidir. Biri TLS güman etdiyi üçün TCP 443-ə qarşı yazılmış qayda 50 protokolu ilə uyğunlaşmayacaq.

Doğma ESP IP 50 protokoludur. O, TCP 50 deyil və UDP 50 deyil, TCP olmayan trafiki bloklayan qayda onu atacaq. Dizayn UDP inkapsulyasiyasından istifadə edirsə, görünən daşıma inkapsulyasiya portuna keçir və siyasət seçilmiş dizayna uyğun olmalıdır.

Paket ölçüsü də vacibdir. Kiçik zond daşıyan marşrut tam inkapsulyasiya olunmuş mübadilənin sığdığını sübut etmir. Böyük paketləri atan yol danışıqların uğurlu, iş yükünün isə uğursuz olmasına imkan verə bilər ki, bu da tətbiq problemi kimi görünür. Tuneli günahlandırmadan əvvəl real iş yükünün ölçüsündə trafiklə sınaqdan keçirin.

Niyə simulyator sualı dəyişir

Simulyator qısa funksiya siyahısı olan marşrutlaşdırıcı deyil; sənədləşdirilmiş alt çoxluğu və müəyyən cihazın nə etmək üçün konfiqurasiya edilə biləcəyinə dair öz qaydaları olan bir modeldir. Cisco Packet Tracer FAQ cihazların və protokolların sadələşdirilmiş modellər olduğunu açıq şəkildə bildirir.

Beləliklə sual üç suala çevrilir. Simulyasiya olunan cihaz ssenarinin ehtiyac duyduğu paketləri ötürürmü? Həmin cihaz dərsin güman etdiyi konfiqurasiya səthini təklif edirmi? Və qəbul edilən əmr davranışın həqiqətən simulyasiya olunduğunu, yoxsa yalnız təhlil edildiyini bildirir?

Olmayan əmr konfiqurasiyanızdakı səhv deyil, model məhdudiyyəti ola bilər. Mövcud əmr bütün istehsal davranışını təkrar etmədən sintaksisi qəbul edə bilər. Hər hansı istiqamətdə nəticə çıxarmadan əvvəl quraşdırılmış versiyanın cihaz yardımını yoxlayın.

Laboratoriya üçün keçmə şərti yazmaq

Underlay dərsi üçün keçmə şərti son nöqtələrin əlçatanlığı və ara cihazdan keçən xarici paketlərdir. Bunu simulyatorun öz sayğacları və ya paket görünüşü ilə sübut edin və görməyi gözlədiyiniz protokolu adlandırın.

IPsec dərsi üçün danışıq vəziyyətini və bir qorunan LAN-dan-LAN-a axını əlavə edin. Simulyator təhlükəsizlik assosiasiyalarını göstərirsə, onları qeyd edin. Göstərmirsə, tunelin yoxlanıldığını ima etmək əvəzinə bunu hesabatda yazın.

Simulyator versiyasını, seçilmiş cihazları və öyrənmə məqsədini topologiya faylı ilə birlikdə saxlayın. Məhz bu qeyd başqasına məşqi təkrarlamağa və hansı hissələrin modelləşdirildiyini anlamağa imkan verir.

İstehsal konfiqurasiyası öz platforma sübutlarını tələb edir. Yaşıl simulyasiya olunmuş paket tədris nəticəsidir, yerləşdirəcəyiniz aparat haqqında uyğunluq bəyanatı deyil.