Нуждае ли се рутерът между два IPsec партньора от IPsec?

Лабораторно упражнение, което казва „конфигурирайте IPsec между два обекта“, крие две различни задачи. Двете крайни точки завършват тунела: те преговарят, удостоверяват, шифроват и дешифрират. Всеки рутер помежду им препраща пакети, чиято външна заглавка принадлежи на крайните точки, и го прави, без да знае, че тунелът съществува.

Решаването каква задача се иска от дадено устройство е първата стъпка от упражнението. По-голямата част от объркването в лабораторните отчети и значителна част от объркването в производствените диаграми идва от третирането на „поддържа IPsec“ като едно свойство вместо две.

Препращането не е завършване

В тунелен режим външната IP заглавка е адресирана към устройствата, които завършват тунела. Рутер в средата търси дестинацията и препраща, точно както за всеки друг пакет, а полезният товар, който носи, е непрозрачен за него.

Тази непрозрачност е умишлена. Рутерът не пази тайната на партньора, не провежда преговори и не се нуждае от база с правила. Нуждае се от маршрут към далечната крайна точка и разрешение да препрати пакета.

Объркването на двете води до реални грешки: искане от транзитна защитна стена да „разреши IPsec“, когато действителното изискване е да се разреши протокол 50 между конкретни адреси, или очакване междинно устройство да дешифрира за проверка, когато няма ключ.

Какво междинното устройство все пак трябва да направи правилно

Препращането има свои собствени изисквания. Маршрутите трябва да достигнат до двете външни крайни точки, и всяка политика по пътя трябва да разрешава действителния външен трафик, а не предполагаем номер на порт. Правило, написано срещу TCP 443, защото някой е предположил TLS, няма да съвпадне с протокол 50.

Собственият ESP е IP протокол 50. Той не е TCP 50 и не е UDP 50, а правило, което блокира трафик, различен от TCP, ще го отхвърли. Ако проектът използва UDP инкапсулация, видимият транспорт се променя на порта за инкапсулация и политиката трябва да съответства на избрания проект.

Значение има и размерът на пакета. Маршрут, който пренася малка сонда, не доказва, че целият инкапсулиран обмен се побира. Път, който изхвърля големи пакети, може да остави преговорите да успеят, а работният товар да се провали, което изглежда като проблем на приложението. Тествайте с трафик с размера на реалния работен товар, преди да обвините тунела.

Защо симулаторът променя въпроса

Симулаторът не е рутер с по-кратък списък от функции; той е модел с документирано подмножество и собствени правила за това какво може да се конфигурира да прави дадено устройство. ЧЗВ на Cisco Packet Tracer изрично посочва, че устройствата и протоколите са опростени модели.

Така въпросът става три въпроса. Дали симулираното устройство препраща пакетите, които са нужни на сценария? Дали същото устройство предлага повърхността за конфигурация, която урокът предполага? И дали приетата команда означава, че поведението наистина се симулира, или само се анализира?

Липсваща команда може да е ограничение на модела, а не грешка в конфигурацията ви. Налична команда може да приеме синтаксиса, без да възпроизвежда всяко производствено поведение. Проверете помощта на устройството за инсталираната версия, преди да заключите в която и да е посока.

Писане на условие за успех за лабораторията

За урок по underlay условието за успех е достижимостта на крайните точки плюс външните пакети, преминаващи през междинното устройство. Докажете го с броячите на самия симулатор или с изглед на пакети и назовете протокола, който очаквате.

За урок по IPsec добавете състоянието на преговорите и един защитен поток от LAN към LAN. Ако симулаторът показва асоциации за сигурност, запишете ги. Ако не, кажете го в доклада, вместо да внушавате, че тунелът е проверен.

Пазете версията на симулатора, избраните устройства и учебната цел заедно с файла за топологията. Именно този запис позволява на някой друг да повтори упражнението и да разбере кои части са моделирани.

Производствената конфигурация се нуждае от собствени доказателства за платформата. Зеленият симулиран пакет е учебен резултат, а не декларация за съвместимост с хардуера, който ще внедрите.