Braucht der Router zwischen zwei IPsec-Peers IPsec?
Ein Transitrouter leitet den äußeren Header weiter und entschlüsselt nie. Die Endpunkte besitzen die IPsec-Implementierung, und ein Simulator bildet womöglich keines von beiden so ab, wie Sie es erwarten.
Eine Laborübung, die „IPsec zwischen zwei Standorten konfigurieren“ verlangt, verbirgt zwei verschiedene Aufgaben. Die beiden Endpunkte terminieren den Tunnel: Sie verhandeln, authentifizieren, verschlüsseln und entschlüsseln. Jeder Router dazwischen leitet Pakete weiter, deren äußerer Header den Endpunkten gehört, und er tut das, ohne zu wissen, dass der Tunnel existiert.
Zu entscheiden, welche Aufgabe von einem Gerät verlangt wird, ist der erste Schritt der Übung. Die meiste Verwirrung in Laborberichten, und ein guter Teil der Verwirrung in Produktionsdiagrammen, entsteht daraus, „unterstützt IPsec“ als eine Eigenschaft statt als zwei zu behandeln.
Weiterleiten ist nicht Terminieren
Im Tunnelmodus ist der äußere IP-Header an die terminierenden Geräte adressiert. Ein Router in der Mitte schlägt das Ziel nach und leitet weiter, genau wie für jedes andere Paket, und die Nutzlast ist für ihn undurchsichtig.
Diese Undurchsichtigkeit ist beabsichtigt. Der Router kennt das Geheimnis des Peers nicht, führt keine Aushandlung durch und braucht keine Richtliniendatenbank. Er braucht eine Route zum fernen Endpunkt und die Berechtigung, das Paket weiterzuleiten.
Die Verwechslung führt zu echten Fehlern: eine Transitfirewall zu bitten, „IPsec zu erlauben“, obwohl die eigentliche Anforderung lautet, Protokoll 50 zwischen bestimmten Adressen zu erlauben, oder zu erwarten, dass ein Zwischengerät zur Inspektion entschlüsselt, obwohl es keinen Schlüssel hat.
Was das Zwischengerät trotzdem richtig machen muss
Weiterleitung hat ihre eigenen Anforderungen. Routen müssen beide externen Endpunkte erreichen, und jede Richtlinie auf dem Pfad muss den tatsächlichen äußeren Verkehr erlauben statt eine geratene Portnummer. Eine Regel gegen TCP 443, weil jemand TLS annahm, passt nicht auf Protokoll 50.
Native ESP ist IP-Protokoll 50. Es ist nicht TCP 50 und nicht UDP 50, und eine Regel, die Nicht-TCP-Verkehr blockiert, verwirft es. Nutzt das Design UDP-Kapselung, ändert sich der sichtbare Transport auf den Kapselungsport, und die Richtlinie muss zum gewählten Design passen.
Auch die Paketgröße zählt. Eine Route, die eine kleine Sonde trägt, beweist nicht, dass der vollständige gekapselte Austausch hineinpasst. Ein Pfad, der große Pakete verwirft, kann die Aushandlung gelingen und die Arbeitslast scheitern lassen, was wie ein Anwendungsproblem aussieht. Testen Sie mit Verkehr in der Größe der realen Arbeitslast, bevor Sie den Tunnel verantwortlich machen.
Warum der Simulator die Frage verändert
Ein Simulator ist kein Router mit kürzerer Funktionsliste; er ist ein Modell mit einer dokumentierten Teilmenge und eigenen Regeln dazu, was ein bestimmtes Gerät konfiguriert bekommen kann. Die Packet-Tracer-FAQ von Cisco sagt ausdrücklich, dass Geräte und Protokolle vereinfachte Modelle sind.
So wird die Frage zu drei Fragen. Leitet das simulierte Gerät die Pakete weiter, die das Szenario braucht? Bietet dasselbe Gerät die Konfigurationsfläche, die die Lektion voraussetzt? Und bedeutet der akzeptierte Befehl, dass das Verhalten wirklich simuliert wird, oder nur geparst?
Ein fehlender Befehl kann eine Modellgrenze sein statt ein Fehler in Ihrer Konfiguration. Ein vorhandener Befehl kann Syntax annehmen, ohne jedes Produktionsverhalten abzubilden. Prüfen Sie die Gerätehilfe der installierten Version, bevor Sie in die eine oder andere Richtung schließen.
Eine Bestehensbedingung für die Übung formulieren
Für eine Underlay-Lektion ist die Bestehensbedingung die Erreichbarkeit der Endpunkte plus die äußeren Pakete, die das Zwischengerät passieren. Belegen Sie es mit den Zählern des Simulators oder einer Paketansicht und benennen Sie das Protokoll, das Sie erwarten.
Für eine IPsec-Lektion ergänzen Sie den Aushandlungszustand und einen geschützten LAN-zu-LAN-Fluss. Zeigt der Simulator Sicherheitsassoziationen, halten Sie sie fest. Tut er das nicht, schreiben Sie es in den Bericht, statt anzudeuten, der Tunnel sei verifiziert worden.
Bewahren Sie Simulatorversion, gewählte Geräte und Lernziel zusammen mit der Topologiedatei auf. Erst dieser Datensatz erlaubt es anderen, die Übung zu wiederholen und zu verstehen, welche Teile modelliert wurden.
Produktionskonfiguration braucht ihre eigenen Plattformbelege. Ein grünes simuliertes Paket ist ein Lehrresultat, keine Kompatibilitätsaussage über die Hardware, die Sie einsetzen werden.