Χρειάζεται IPsec ο δρομολογητής ανάμεσα σε δύο ομότιμους IPsec;

Μια εργαστηριακή άσκηση που λέει «ρυθμίστε IPsec μεταξύ δύο τοποθεσιών» κρύβει δύο διαφορετικές εργασίες. Τα δύο άκρα τερματίζουν τη σήραγγα: διαπραγματεύονται, επικυρώνουν ταυτότητα, κρυπτογραφούν και αποκρυπτογραφούν. Οποιοσδήποτε δρομολογητής ενδιάμεσα προωθεί πακέτα των οποίων η εξωτερική κεφαλίδα ανήκει στα άκρα, και το κάνει χωρίς να γνωρίζει ότι η σήραγγα υπάρχει.

Το να αποφασίσεις ποια εργασία ζητείται από μια συσκευή είναι το πρώτο βήμα της άσκησης. Το μεγαλύτερο μέρος της σύγχυσης στις εργαστηριακές αναφορές, και ένα καλό μέρος της σύγχυσης στα διαγράμματα παραγωγής, προέρχεται από το να αντιμετωπίζεται το «υποστηρίζει IPsec» ως μία ιδιότητα αντί για δύο.

Η προώθηση δεν είναι τερματισμός

Σε λειτουργία σήραγγας, η εξωτερική κεφαλίδα IP διευθύνεται προς τις συσκευές που τερματίζουν τη σήραγγα. Ένας δρομολογητής στη μέση αναζητά τον προορισμό και προωθεί, ακριβώς όπως για οποιοδήποτε άλλο πακέτο, και το ωφέλιμο φορτίο που μεταφέρει είναι αδιαφανές γι’ αυτόν.

Αυτή η αδιαφάνεια είναι σκόπιμη. Ο δρομολογητής δεν κατέχει το μυστικό του ομότιμου, δεν εκτελεί διαπραγμάτευση και δεν χρειάζεται βάση πολιτικών. Χρειάζεται μια διαδρομή προς το απομακρυσμένο άκρο και άδεια να προωθήσει το πακέτο.

Η σύγχυση των δύο οδηγεί σε πραγματικά λάθη: ζητάμε από ένα τείχος προστασίας διαμετακόμισης να «επιτρέψει το IPsec» ενώ η πραγματική απαίτηση είναι να επιτραπεί το πρωτόκολλο 50 μεταξύ συγκεκριμένων διευθύνσεων, ή περιμένουμε μια ενδιάμεση συσκευή να αποκρυπτογραφήσει για επιθεώρηση ενώ δεν έχει κλειδί.

Τι πρέπει ωστόσο να κάνει σωστά η ενδιάμεση συσκευή

Η προώθηση έχει τις δικές της απαιτήσεις. Οι διαδρομές πρέπει να φτάνουν και στα δύο εξωτερικά άκρα, και κάθε πολιτική κατά μήκος της διαδρομής πρέπει να επιτρέπει την πραγματική εξωτερική κίνηση και όχι έναν υποτιθέμενο αριθμό θύρας. Ένας κανόνας γραμμένος απέναντι στο TCP 443 επειδή κάποιος υπέθεσε TLS δεν θα ταιριάξει με το πρωτόκολλο 50.

Το εγγενές ESP είναι το πρωτόκολλο IP 50. Δεν είναι TCP 50 και δεν είναι UDP 50, και ένας κανόνας που αποκλείει κίνηση που δεν είναι TCP θα το πετάξει. Αν ο σχεδιασμός χρησιμοποιεί ενθυλάκωση UDP, η ορατή μεταφορά αλλάζει στη θύρα ενθυλάκωσης, και η πολιτική πρέπει να ταιριάζει με τον επιλεγμένο σχεδιασμό.

Το μέγεθος του πακέτου έχει επίσης σημασία. Μια διαδρομή που μεταφέρει μικρό ιχνηλάτη δεν αποδεικνύει ότι χωράει ολόκληρη η ενθυλακωμένη ανταλλαγή. Μια διαδρομή που πετάει μεγάλα πακέτα μπορεί να αφήσει τη διαπραγμάτευση να πετύχει και τον φόρτο εργασίας να αποτύχει, κάτι που μοιάζει με πρόβλημα εφαρμογής. Δοκιμάστε με κίνηση στο μέγεθος του πραγματικού φόρτου εργασίας πριν κατηγορήσετε τη σήραγγα.

Γιατί ο προσομοιωτής αλλάζει την ερώτηση

Ένας προσομοιωτής δεν είναι δρομολογητής με συντομότερη λίστα λειτουργιών· είναι ένα μοντέλο με τεκμηριωμένο υποσύνολο και τους δικούς του κανόνες για το τι μπορεί να ρυθμιστεί μια δεδομένη συσκευή να κάνει. Οι Συχνές Ερωτήσεις του Packet Tracer της Cisco δηλώνουν ρητά ότι οι συσκευές και τα πρωτόκολλα είναι απλοποιημένα μοντέλα.

Έτσι η ερώτηση γίνεται τρεις ερωτήσεις. Προωθεί η προσομοιωμένη συσκευή τα πακέτα που χρειάζεται το σενάριο; Προσφέρει η ίδια συσκευή την επιφάνεια ρύθμισης που προϋποθέτει το μάθημα; Και σημαίνει η αποδεκτή εντολή ότι η συμπεριφορά προσομοιώνεται πραγματικά ή απλώς αναλύεται;

Μια απούσα εντολή μπορεί να είναι όριο του μοντέλου και όχι λάθος στη ρύθμισή σας. Μια παρούσα εντολή μπορεί να δεχτεί τη σύνταξη χωρίς να αναπαράγει κάθε συμπεριφορά παραγωγής. Ελέγξτε τη βοήθεια της συσκευής της εγκατεστημένης έκδοσης πριν καταλήξετε προς οποιαδήποτε κατεύθυνση.

Γράφοντας ένα κριτήριο επιτυχίας για το εργαστήριο

Για ένα μάθημα underlay, το κριτήριο επιτυχίας είναι η προσβασιμότητα των άκρων συν τα εξωτερικά πακέτα που διασχίζουν την ενδιάμεση συσκευή. Αποδείξτε το με τους μετρητές του ίδιου του προσομοιωτή ή με όψη πακέτων, και ονομάστε το πρωτόκολλο που περιμένετε να δείτε.

Για ένα μάθημα IPsec, προσθέστε την κατάσταση διαπραγμάτευσης και μία προστατευμένη ροή από LAN σε LAN. Αν ο προσομοιωτής εκθέτει συσχετίσεις ασφαλείας, καταγράψτε τις. Αν όχι, πείτε το στην αναφορά αντί να υπονοήσετε ότι η σήραγγα επαληθεύτηκε.

Κρατήστε την έκδοση του προσομοιωτή, τις επιλεγμένες συσκευές και τον μαθησιακό στόχο μαζί με το αρχείο τοπολογίας. Αυτή η καταγραφή είναι που επιτρέπει σε κάποιον άλλο να αναπαράγει την άσκηση και να καταλάβει ποια μέρη μοντελοποιήθηκαν.

Η ρύθμιση παραγωγής χρειάζεται τα δικά της στοιχεία πλατφόρμας. Ένα πράσινο προσομοιωμένο πακέτο είναι εκπαιδευτικό αποτέλεσμα, όχι δήλωση συμβατότητας για το υλικό που θα εγκαταστήσετε.