Ці патрэбен IPsec рутару паміж двума партнёрамі IPsec?

Лабараторнае практыкаванне, якое кажа „наладзьце IPsec паміж дзвюма пляцоўкамі“, хавае дзве розныя задачы. Два канчатковыя пункты завяршаюць тунель: яны вядуць перамовы, аўтэнтыфікуюць, шыфруюць і дэшыфруюць. Любы рутар паміж імі перасылае пакеты, вонкавая загалоўка якіх належыць канчатковым пунктам, і робіць гэта, не ведаючы, што тунель існуе.

Рашэнне, якая задача патрабуецца ад прылады, — гэта першы крок практыкавання. Большая частка блытаніны ў лабараторных справаздачах і значная частка блытаніны ў вытворчых дыяграмах паходзіць з таго, што „падтрымлівае IPsec“ разглядаецца як адна ўласцівасць замест дзвюх.

Перасылка — гэта не завяршэнне

У рэжыме тунеля вонкавая загалоўка IP адрасавана прыладам, якія завяршаюць тунель. Рутар пасярэдзіне шукае прызначэнне і перасылае, гэтак жа, як для любога іншага пакета, а карысная нагрузка, якую ён нясе, для яго непразрыстая.

Гэтая непразрыстасць наўмысная. Рутар не захоўвае сакрэт партнёра, не вядзе перамоваў і не мае патрэбы ў базе правілаў. Яму патрэбны маршрут да далёкага канцавога пункта і дазвол пераслаць пакет.

Змешванне гэтых двух вядзе да рэальных памылак: патрабаваць ад транзітнага міжсеткавага экрана, каб ён „дазволіў IPsec“, калі рэальнае патрабаванне — дазволіць пратакол 50 паміж пэўнымі адрасамі, або чакаць, што прамежкавая прылада дэшыфруе для праверкі, калі ў яе няма ключа.

Што прамежкавая прылада ўсё ж павінна зрабіць правільна

Перасылка мае свае патрабаванні. Маршруты павінны дасягаць абодвух знешніх канцавых пунктаў, і любая палітыка на шляху павінна дазваляць рэальны знешні трафік, а не меркаваны нумар порта. Правіла, напісанае супраць TCP 443, таму што нехта меркаваў TLS, не супадзе з пратаколам 50.

Уласны ESP — гэта IP-пратакол 50. Гэта не TCP 50 і не UDP 50, а правіла, якое блакуе трафік, што не з’яўляецца TCP, адкіне яго. Калі праект выкарыстоўвае інкапсуляцыю UDP, бачны транспарт змяняецца на порт інкапсуляцыі, і палітыка павінна адпавядаць абранаму праекту.

Мае значэнне і памер пакета. Маршрут, які нясе маленькую сонду, не даказвае, што ўвесь інкапсуляваны абмен змяшчаецца. Шлях, які адкідвае вялікія пакеты, можа дазволіць перамовам атрымацца, а працоўнай нагрузцы — не, і гэта выглядае як праблема праграмы. Тэстуйце трафікам памеру рэальнай працоўнай нагрузкі, перш чым вінаваціць тунель.

Чаму сімулятар змяняе пытанне

Сімулятар — гэта не рутар з карацейшым спісам функцый; гэта мадэль з дакументаваным падмноствам і ўласнымі правіламі пра тое, што пэўную прыладу можна наладзіць рабіць. FAQ Cisco Packet Tracer ясна кажа, што прылады і пратаколы — спрошчаныя мадэлі.

Такім чынам, пытанне становіцца трыма пытаннямі. Ці перасылае сімуляваная прылада пакеты, якіх патрабуе сцэнар? Ці прапаноўвае тая ж прылада паверхню наладкі, якую мяркуе ўрок? І ці азначае прынятая каманда, што паводзіны сапраўды сімулюецца, ці толькі аналізуецца?

Адсутная каманда можа быць абмежаваннем мадэлі, а не памылкай у вашай наладзе. Наяўная каманда можа прыняць сінтаксіс, не ўзнаўляючы ўсе вытворчыя паводзіны. Праверце даведку прылады ўсталяванай версіі, перш чым рабіць выснову ў любым кірунку.

Як напісаць умову поспеху для лабараторыі

Для ўрока пра underlay умова поспеху — дасягальнасць канцавых пунктаў плюс знешнія пакеты, якія праходзяць праз прамежкавую прыладу. Дакажыце гэта лічыльнікамі самога сімулятара або праглядам пакетаў і назавіце пратакол, які чакаеце ўбачыць.

Для ўрока пра IPsec дадайце стан перамоваў і адзін абаронены паток ад LAN да LAN. Калі сімулятар паказвае асацыяцыі бяспекі, запішыце іх. Калі не, скажыце пра гэта ў справаздачы, замест таго каб намякаць, што тунель быў правераны.

Трымайце версію сімулятара, абраныя прылады і мэту навучання разам з файлам тапалогіі. Менавіта гэты запіс дазваляе камусьці іншаму паўтарыць практыкаванне і зразумець, якія часткі былі змадэляваны.

Вытворчая налада патрабуе ўласных доказаў платформы. Зялёны сімуляваны пакет — гэта навучальны вынік, а не заява пра сумяшчальнасць з абсталяваннем, якое вы будзеце разгортваць.