¿Necesita IPsec el router entre dos pares IPsec?

Un ejercicio de laboratorio que dice «configura IPsec entre dos sitios» esconde dos trabajos distintos. Los dos extremos terminan el túnel: negocian, autentican, cifran y descifran. Cualquier router intermedio reenvía paquetes cuya cabecera externa pertenece a los extremos, y lo hace sin saber que el túnel existe.

Decidir qué trabajo se le pide a un dispositivo es el primer paso del ejercicio. La mayor parte de la confusión en los informes de laboratorio, y buena parte de la confusión en los diagramas de producción, viene de tratar «admite IPsec» como una sola propiedad en lugar de dos.

Reenviar no es terminar

En modo túnel, la cabecera IP externa va dirigida a los dispositivos que terminan el túnel. Un router en medio consulta el destino y reenvía, exactamente igual que con cualquier otro paquete, y la carga útil que transporta le resulta opaca.

Esa opacidad es deliberada. El router no guarda el secreto del par, no ejecuta una negociación y no necesita una base de datos de políticas. Necesita una ruta hacia el extremo remoto y permiso para reenviar el paquete.

Confundir ambas cosas lleva a errores reales: pedir a un cortafuegos de tránsito que «permita IPsec» cuando el requisito real es permitir el protocolo 50 entre direcciones concretas, o esperar que un dispositivo intermedio descifre para inspeccionar cuando no tiene ninguna clave.

Lo que el dispositivo intermedio debe acertar igualmente

El reenvío tiene sus propios requisitos. Las rutas deben alcanzar ambos extremos externos, y cualquier política del camino debe permitir el tráfico externo real en lugar de un número de puerto supuesto. Una regla escrita contra TCP 443 porque alguien asumió TLS no coincidirá con el protocolo 50.

El ESP nativo es el protocolo IP 50. No es TCP 50 ni UDP 50, y una regla que bloquee el tráfico que no sea TCP lo descartará. Si el diseño usa encapsulación UDP, el transporte visible pasa al puerto de encapsulación, y la política debe coincidir con el diseño elegido.

El tamaño de los paquetes también importa. Una ruta que transporta una sonda pequeña no demuestra que el intercambio encapsulado completo quepa. Un camino que descarta paquetes grandes puede dejar que la negociación tenga éxito y que la carga de trabajo falle, lo que parece un problema de aplicación. Prueba con tráfico del tamaño de la carga real antes de culpar al túnel.

Por qué el simulador cambia la pregunta

Un simulador no es un router con una lista de funciones más corta; es un modelo con un subconjunto documentado y sus propias reglas sobre lo que se puede configurar en un dispositivo dado. Las preguntas frecuentes de Packet Tracer de Cisco dicen claramente que los dispositivos y protocolos son modelos simplificados.

Así, la pregunta se convierte en tres preguntas. ¿El dispositivo simulado reenvía los paquetes que necesita el escenario? ¿El mismo dispositivo ofrece la superficie de configuración que supone la lección? ¿Y el comando aceptado significa que el comportamiento se simula de verdad o solo se analiza?

Un comando ausente puede ser un límite del modelo en lugar de un error en tu configuración. Un comando presente puede aceptar la sintaxis sin reproducir todos los comportamientos de producción. Consulta la ayuda del dispositivo de la versión instalada antes de concluir en un sentido u otro.

Cómo escribir una condición de aprobado para el laboratorio

Para una lección de underlay, la condición de aprobado es la accesibilidad de los extremos más los paquetes externos que atraviesan el dispositivo intermedio. Demuéstralo con los contadores del propio simulador o con una vista de paquetes, y nombra el protocolo que esperas ver.

Para una lección de IPsec, añade el estado de negociación y un flujo protegido de LAN a LAN. Si el simulador expone asociaciones de seguridad, regístralas. Si no lo hace, dilo en el informe en lugar de insinuar que el túnel quedó verificado.

Conserva la versión del simulador, los dispositivos elegidos y el objetivo de aprendizaje junto con el archivo de topología. Ese registro es lo que permite a otra persona reproducir el ejercicio y entender qué partes se modelaron.

La configuración de producción necesita sus propias pruebas de plataforma. Un paquete simulado en verde es un resultado didáctico, no una declaración de compatibilidad sobre el hardware que vas a desplegar.