Kas kahe IPsec-osapoole vahelisel ruuteril on IPsec vaja?

Laboriharjutus, mis ütleb „seadista IPsec kahe saidi vahel“, peidab kaks erinevat tööd. Kaks lõpp-punkti lõpetavad tunnelit: nad peavad läbirääkimisi, autendivad, krüpteerivad ja dekrüpteerivad. Iga vahepealne ruuter edastab pakette, mille välimine päis kuulub lõpp-punktidele, ja teeb seda teadmata, et tunnel on olemas.

Otsustamine, millist tööd seadmelt küsitakse, on harjutuse esimene samm. Suurem osa segadusest laboriaruannetes ja märkimisväärne osa segadusest tootmisdiagrammides tuleb sellest, et „toetab IPsec-i“ käsitletakse ühe omadusena kahe asemel.

Edastamine ei ole lõpetamine

Tunnelirežiimis on välimine IP-päis adresseeritud lõpetavatele seadmetele. Ruuter keskel otsib sihtkoha üles ja edastab edasi, täpselt nagu iga teise paketi puhul, ja selle kantav kasulik koormus on tema jaoks läbipaistmatu.

See läbipaistmatus on tahtlik. Ruuter ei hoia partneri saladust, ei korralda läbirääkimisi ega vaja poliitikate andmebaasi. Ta vajab marsruuti kaugema lõpp-punktini ja luba pakett edasi saata.

Kahe asja segamine viib tõeliste vigadeni: paluda transiittulemüüril „lubada IPsec-i“, kui tegelik nõue on lubada protokoll 50 kindlate aadresside vahel, või oodata, et vaheseade inspekteerimiseks dekrüpteeriks, kui tal pole võtit.

Mida vaheseade peab siiski õigesti tegema

Edastamisel on omad nõuded. Marsruudid peavad jõudma mõlema välise lõpp-punktini, ja iga tee peal olev poliitika peab lubama tegelikku välist liiklust, mitte oletatud pordi numbrit. Reegel, mis on kirjutatud TCP 443 vastu, sest keegi eeldas TLS-i, ei sobi protokolliga 50.

Päris ESP on IP-protokoll 50. See ei ole TCP 50 ega UDP 50, ja reegel, mis blokeerib mitte-TCP liiklust, viskab selle ära. Kui projekt kasutab UDP-kapseldust, muutub nähtav transport kapseldusportiks ja poliitika peab vastama valitud projektile.

Ka paketi suurus on oluline. Marsruut, mis kannab väikest sondi, ei tõesta, et terve kapseldatud vahetus mahub. Tee, mis viskab suuri pakette, võib lasta läbirääkimisel õnnestuda ja töökoormusel ebaõnnestuda, mis näeb välja nagu rakenduse probleem. Enne tunneli süüdistamist katseta tegeliku töökoormuse suuruse liiklusega.

Miks simulaator muudab küsimust

Simulaator ei ole ruuter lühema funktsioonide loendiga; see on mudel dokumenteeritud alamhulgaga ja oma reeglitega selle kohta, mida antud seadet saab seadistada tegema. Cisco Packet Traceri KKK ütleb selgesõnaliselt, et seadmed ja protokollid on lihtsustatud mudelid.

Nii muutub küsimus kolmeks küsimuseks. Kas simuleeritud seade edastab paketid, mida stsenaarium vajab? Kas sama seade pakub seadistuspinda, mida õppetund eeldab? Ja kas aktsepteeritud käsk tähendab, et käitumine on tõesti simuleeritud või ainult parsitud?

Puuduv käsk võib olla mudeli piirang, mitte viga sinu seadistuses. Olemasolev käsk võib süntaksi vastu võtta, ilma et taastoodaks kogu tootmiskäitumist. Enne järelduste tegemist kontrolli paigaldatud versiooni seadmeabi.

Labori läbimiskriteeriumi kirjutamine

Underlay-õppetunni puhul on läbimiskriteerium lõpp-punktide kättesaadavus pluss välimised paketid, mis läbivad vaheseadet. Tõesta seda simulaatori enda loendurite või paketivaatega ja nimeta protokoll, mida ootad näha.

IPsec-õppetunni puhul lisa läbirääkimise olek ja üks kaitstud LAN-LAN voog. Kui simulaator näitab turvaassotsiatsioone, kirjuta need üles. Kui ei näita, ütle seda aruandes, selle asemel et vihjata, et tunnel on kontrollitud.

Hoia simulaatori versioon, valitud seadmed ja õpieesmärk topoloogiafaili juures. Just see kirje võimaldab teisel inimesel harjutust korrata ja mõista, millised osad olid modelleeritud.

Tootmisseadistus vajab oma platvormitõendeid. Roheline simuleeritud pakett on õpetuslik tulemus, mitte ühilduvusavaldus riistvara kohta, mida hakkad juurutama.