A oes angen IPsec ar y llwybrydd rhwng dau bartner IPsec?

Mae ymarfer labordy sy’n dweud “ffurfweddwch IPsec rhwng dau safle” yn cuddio dau dasg wahanol. Y dau ben terfynol sy’n terfynu’r twnnel: maent yn trafod, yn dilysu, yn amgryptio ac yn dadgryptio. Mae unrhyw lwybrydd yn y canol yn anfon pecynnau ymlaen y mae eu pennawd allanol yn perthyn i’r penau terfynol, ac mae’n gwneud hynny heb wybod bod y twnnel yn bodoli.

Penderfynu pa dasg y gofynnir i ddyfais ei wneud yw cam cyntaf yr ymarfer. Daw’r rhan fwyaf o’r dryswch mewn adroddiadau labordy, a chyfran helaeth o’r dryswch mewn diagramau cynhyrchu, o drin “yn cefnogi IPsec” fel un eiddo yn hytrach na dau.

Nid yw anfon ymlaen yn terfynu

Mewn modd twnnel, mae’r pennawd IP allanol wedi’i gyfeirio at y dyfeisiau terfynu. Mae llwybrydd yn y canol yn chwilio’r cyrchfan ac yn anfon ymlaen, yn union fel y byddai ar gyfer unrhyw becyn arall, ac mae’r llwyth a gludir ganddo yn anhydraidd iddo.

Mae’r anhydraiddrwydd hwnnw’n fwriadol. Nid yw’r llwybrydd yn dal cyfrinach y partner, nid yw’n cynnal trafodaeth, ac nid oes angen cronfa ddata polisi arno. Mae angen llwybr tuag at y pen terfynol pell a chaniatâd i anfon y pecyn ymlaen.

Mae cymysgu’r ddau yn arwain at gamgymeriadau gwirioneddol: gofyn i wal dân tramwy “ganiatáu IPsec” pan mai’r gwir ofyniad yw caniatáu protocol 50 rhwng cyfeiriadau penodol, neu ddisgwyl i ddyfais ganol ddadgryptio ar gyfer archwilio pan nad oes ganddi allwedd.

Yr hyn y mae’n rhaid i’r ddyfais ganol ei gael yn iawn o hyd

Mae gan anfon ymlaen ei ofynion ei hun. Rhaid i lwybrau gyrraedd y ddau ben allanol, ac mae’n rhaid i unrhyw bolisi ar hyd y llwybr ganiatáu’r traffig allanol gwirioneddol yn hytrach na rhif porth a dybiwyd. Ni fydd rheol a ysgrifennwyd yn erbyn TCP 443 am fod rhywun wedi tybio TLS yn cyfateb i brotocol 50.

Protocol IP 50 yw ESP brodorol. Nid TCP 50 ydyw ac nid UDP 50 ydyw, a bydd rheol sy’n blocio traffig nad yw’n TCP yn ei ollwng. Os yw’r dyluniad yn defnyddio amgáu UDP, mae’r cludiant gweladwy yn newid i’r porth amgáu, ac mae’n rhaid i’r polisi gyfateb i’r dyluniad a ddewiswyd.

Mae maint pecyn yn bwysig hefyd. Nid yw llwybr sy’n cario archwiliad bach yn profi bod y cyfnewid amgaeedig llawn yn ffitio. Gall llwybr sy’n gollwng pecynnau mawr adael i’r drafodaeth lwyddo a’r llwyth gwaith fethu, sy’n edrych fel problem cymhwysiad. Profwch â thraffig o faint y llwyth gwaith go iawn cyn beio’r twnnel.

Pam mae’r efelychydd yn newid y cwestiwn

Nid llwybrydd â rhestr nodweddion lai yw efelychydd; model ydyw gydag is-set wedi’i dogfennu, a’i reolau ei hun ynghylch yr hyn y gellir ei ffurfweddu i ddyfais benodol ei wneud. Mae Cwestiynau Cyffredin Packet Tracer Cisco yn dweud yn blwmp fod dyfeisiau a phrotocolau’n fodelau symlach.

Felly mae’r cwestiwn yn dod yn dri chwestiwn. A yw’r ddyfais efelychiedig yn anfon ymlaen y pecynnau y mae’r senario eu hangen? A yw’r un ddyfais yn cynnig yr wyneb ffurfweddu y mae’r wers yn ei dybio? Ac a yw’r gorchymyn a dderbynnir yn golygu bod yr ymddygiad yn cael ei efelychu go iawn, neu’n cael ei ddadansoddi’n gystrawenol yn unig?

Gall gorchymyn absennol fod yn gyfyngiad model yn hytrach na chamgymeriad yn eich ffurfweddiad. Gall gorchymyn presennol dderbyn cystrawen heb atgynhyrchu pob ymddygiad cynhyrchu. Gwiriwch help dyfais y fersiwn sydd wedi’i osod cyn dod i gasgliad y naill ffordd neu’r llall.

Ysgrifennu amod llwyddo ar gyfer y labordy

Ar gyfer gwers underlay, yr amod llwyddo yw cyraeddadwyedd y penau terfynol ynghyd â’r pecynnau allanol yn croesi’r ddyfais ganol. Profwch hynny gyda chyfrifwyr yr efelychydd ei hun neu olwg pecynnau, ac enwch y protocol yr ydych yn disgwyl ei weld.

Ar gyfer gwers IPsec, ychwanegwch y cyflwr trafodaeth ac un ffrwd LAN-i-LAN warchodedig. Os yw’r efelychydd yn datgelu cymdeithasau diogelwch, cofnodwch nhw. Os nad yw, dywedwch hynny yn yr adroddiad yn hytrach na awgrymu bod y twnnel wedi’i wirio.

Cadwch y fersiwn efelychydd, y dyfeisiau a ddewiswyd, a’r amcan dysgu gyda’r ffeil topoleg. Y cofnod hwnnw sy’n caniatáu i rywun arall ailadrodd yr ymarfer a deall pa rannau a fodelwyd.

Mae angen tystiolaeth platfform ei hun ar ffurfweddiad cynhyrchu. Canlyniad addysgu yw pecyn efelychiedig gwyrdd, nid datganiad cydnawsedd am y caledwedd y byddwch yn ei osod.