Cal IPsec el router entre dos parells IPsec?

Un exercici de laboratori que diu «configura IPsec entre dos llocs» amaga dues feines diferents. Els dos extrems terminen el túnel: negocien, autentiquen, xifren i desxifren. Qualsevol encaminador entremig reenvia paquets la capçalera exterior dels quals pertany als extrems, i ho fa sense saber que el túnel existeix.

Decidir quina feina es demana a un dispositiu és el primer pas de l’exercici. La major part de la confusió en els informes de laboratori, i bona part de la confusió en els diagrames de producció, ve de tractar «suporta IPsec» com una sola propietat en lloc de dues.

Reenviar no és terminar

En mode túnel, la capçalera IP exterior s’adreça als dispositius que terminen. Un encaminador al mig cerca la destinació i reenvia, exactament com ho faria amb qualsevol altre paquet, i la càrrega útil que transporta li és opaca.

Aquesta opacitat és deliberada. L’encaminador no té el secret del parell, no executa cap negociació i no necessita cap base de dades de polítiques. Necessita una ruta cap a l’extrem remot i permís per reenviar el paquet.

Confondre les dues coses porta a errors reals: demanar a un tallafoc de trànsit que «permeti IPsec» quan el requisit real és permetre el protocol 50 entre adreces concretes, o esperar que un dispositiu intermedi desxifri per a inspecció quan no té cap clau.

Què ha d’encertar encara el dispositiu intermedi

El reenviament té requisits propis. Les rutes han d’arribar als dos extrems externs, i qualsevol política del camí ha de permetre el trànsit exterior real i no un número de port suposat. Una regla escrita contra TCP 443 perquè algú va suposar TLS no coincidirà amb el protocol 50.

L’ESP natiu és el protocol IP 50. No és TCP 50 ni UDP 50, i una regla que bloqui el trànsit que no sigui TCP el descartarà. Si el disseny fa servir encapsulació UDP, el transport visible passa al port d’encapsulació, i la política ha de coincidir amb el disseny triat.

La mida dels paquets també importa. Una ruta que transporta una sonda petita no demostra que l’intercanvi encapsulat complet hi càpiga. Un camí que descarta paquets grans pot fer que la negociació reeixi i la càrrega de treball falli, cosa que sembla un problema d’aplicació. Prova amb trànsit de la mida de la càrrega real abans de culpar el túnel.

Per què el simulador canvia la pregunta

Un simulador no és un encaminador amb una llista de funcions més curta; és un model amb un subconjunt documentat i les seves pròpies regles sobre què es pot configurar que faci un dispositiu concret. Les preguntes freqüents del Packet Tracer de Cisco diuen clarament que els dispositius i els protocols són models simplificats.

Així, la pregunta es converteix en tres preguntes. El dispositiu simulat reenvia els paquets que necessita l’escenari? El mateix dispositiu ofereix la superfície de configuració que pressuposa la lliçó? I l’ordre acceptada vol dir que el comportament se simula de veritat o només s’analitza?

Una ordre absent pot ser un límit del model i no un error de la teva configuració. Una ordre present pot acceptar la sintaxi sense reproduir tots els comportaments de producció. Consulta l’ajuda del dispositiu de la versió instal·lada abans de concloure en un sentit o l’altre.

Com escriure una condició d’èxit per al laboratori

Per a una lliçó d’underlay, la condició d’èxit és l’abastabilitat dels extrems més els paquets exteriors que travessen el dispositiu intermedi. Demostra-ho amb els comptadors propis del simulador o amb una vista de paquets, i anomena el protocol que esperes veure.

Per a una lliçó d’IPsec, afegeix l’estat de negociació i un flux protegit de LAN a LAN. Si el simulador exposa associacions de seguretat, registra-les. Si no ho fa, digues-ho a l’informe en lloc d’insinuar que el túnel s’ha verificat.

Guarda la versió del simulador, els dispositius triats i l’objectiu d’aprenentatge amb el fitxer de topologia. Aquest registre és el que permet a algú altre reproduir l’exercici i entendre quines parts s’han modelat.

La configuració de producció necessita les seves pròpies proves de plataforma. Un paquet simulat en verd és un resultat docent, no una declaració de compatibilitat sobre el maquinari que desplegaràs.