Potřebuje router mezi dvěma partnery IPsec protokol IPsec?

Laboratorní cvičení, které říká „nakonfigurujte IPsec mezi dvěma lokalitami“, skrývá dva různé úkoly. Oba koncové body tunel ukončují: vyjednávají, ověřují, šifrují a dešifrují. Jakýkoli router mezi nimi přeposílá pakety, jejichž vnější hlavička patří koncovým bodům, a dělá to, aniž by věděl, že tunel existuje.

Rozhodnout, který úkol se po zařízení žádá, je prvním krokem cvičení. Většina zmatení v laboratorních zápisech a značná část zmatení v produkčních diagramech pramení z toho, že se „podporuje IPsec“ bere jako jedna vlastnost místo dvou.

Přeposílání není ukončování

V tunelovém režimu je vnější IP hlavička adresována ukončujícím zařízením. Router uprostřed vyhledá cíl a přepošle paket, přesně jako u každého jiného paketu, a užitečné zatížení, které nese, je pro něj neprůhledné.

Ta neprůhlednost je záměrná. Router nedrží tajemství protějšku, nevede vyjednávání a nepotřebuje databázi zásad. Potřebuje trasu k vzdálenému koncovému bodu a oprávnění paket přeposlat.

Záměna obojího vede ke skutečným chybám: žádat tranzitní firewall, aby „povolil IPsec“, když skutečným požadavkem je povolit protokol 50 mezi konkrétními adresami, nebo očekávat, že prostřední zařízení dešifruje kvůli inspekci, když nemá klíč.

Co musí prostřední zařízení přesto zvládnout

Přeposílání má své vlastní požadavky. Trasy musí dosáhnout na oba externí koncové body, a každá zásada na cestě musí povolit skutečný vnější provoz, nikoli odhadnuté číslo portu. Pravidlo napsané na TCP 443, protože někdo předpokládal TLS, nebude odpovídat protokolu 50.

Nativní ESP je IP protokol 50. Není to TCP 50 ani UDP 50 a pravidlo, které blokuje jiný než TCP provoz, ho zahodí. Pokud návrh používá zapouzdření UDP, viditelná přeprava se změní na port zapouzdření a zásada musí odpovídat zvolenému návrhu.

Záleží i na velikosti paketů. Trasa, která přenese malou sondu, nedokazuje, že se celá zapouzdřená výměna vejde. Cesta, která zahazuje velké pakety, může nechat vyjednávání uspět a zátěž selhat, což vypadá jako problém aplikace. Testujte provozem o velikosti skutečné zátěže, než budete vinit tunel.

Proč simulátor mění otázku

Simulátor není router s kratším seznamem funkcí; je to model s zdokumentovanou podmnožinou a vlastními pravidly o tom, co lze dané zařízení nakonfigurovat. FAQ k Cisco Packet Tracer výslovně uvádí, že zařízení a protokoly jsou zjednodušené modely.

Otázka se tak mění na tři otázky. Přeposílá simulované zařízení pakety, které scénář potřebuje? Nabízí totéž zařízení konfigurační rozhraní, které lekce předpokládá? A znamená přijatý příkaz, že chování je skutečně simulováno, nebo jen syntakticky přijato?

Chybějící příkaz může být limit modelu, ne chyba ve vaší konfiguraci. Přítomný příkaz může přijmout syntaxi, aniž by reprodukoval veškeré produkční chování. Než uzavřete cokoli, prostudujte nápovědu zařízení v nainstalované verzi.

Jak napsat podmínku splnění pro laboratoř

U lekce o underlay je podmínkou splnění dosažitelnost koncových bodů plus vnější pakety procházející prostředním zařízením. Dokažte to vlastními čítači simulátoru nebo zobrazením paketů a pojmenujte protokol, který očekáváte.

U lekce o IPsec přidejte stav vyjednávání a jeden chráněný tok LAN-to-LAN. Pokud simulátor zobrazuje bezpečnostní asociace, zaznamenejte je. Pokud ne, napište to do protokolu, místo abyste naznačovali, že tunel byl ověřen.

Uchovejte verzi simulátoru, zvolená zařízení a cíl výuky spolu se souborem topologie. Právě tento záznam umožní někomu jinému cvičení zopakovat a pochopit, které části byly modelovány.

Produkční konfigurace potřebuje vlastní důkazy o platformě. Zelený simulovaný paket je výukový výsledek, ne prohlášení o kompatibilitě hardwaru, který nasadíte.