IPsec behar al du bi IPsec parearen arteko bideratzaileak?
Transitu-bideratzaile batek kanpoko goiburua birbidaltzen du eta ez du inoiz deszifratzen. Muturrek dute IPsec inplementazioa, eta simulatzaile batek agian ez du bat bera ere espero duzun bezala modelatuko.
«Konfiguratu IPsec bi guneen artean» esaten duen laborategiko ariketa batek bi lan desberdin ezkutatzen ditu. Bi muturrek tunela amaitzen dute: negoziatu, autentifikatu, zifratu eta deszifratzen dute. Tarteko edozein bideratzailek kanpoko goiburua muturrena den paketeak birbidaltzen ditu, eta tunela badela jakin gabe egiten du.
Gailuari zein lan eskatu zaion erabakitzea da ariketaren lehen urratsa. Laborategi-txostenen nahasmen handiena, eta produkzio-diagrametako nahasmenaren zati handi bat, «IPsec onartzen du» bi baino propietate bakar bat bezala tratatzetik dator.
Birbidaltzea ez da amaitzea
Tunel moduan, kanpoko IP goiburua tunela amaitzen duten gailuei zuzenduta dago. Erdiko bideratzaile batek helmuga bilatzen du eta birbidaltzen du, beste edozein paketerekin egingo lukeen bezalaxe, eta daraman karga erabilgarria opakua da berarentzat.
Opakutasun hori nahita dago. Bideratzaileak ez du parearen sekretua gordetzen, ez du negoziaziorik egiten eta ez du politika datu-baserik behar. Urruneko muturrerantz doan bide bat eta paketea birbidaltzeko baimena behar ditu.
Bi gauzak nahasteak benetako akatsak dakartza: transituko suebaki bati «IPsec onartzeko» eskatzea, benetako baldintza helbide jakin batzuen artean 50 protokoloa onartzea denean, edo tarteko gailu batek ikuskatzeko deszifratuko duela espero izatea, gakorik ez duenean.
Erdiko gailuak oraindik ondo egin behar duena
Birbidaltzeak baditu bere baldintzak. Bideek kanpoko bi muturretara iritsi behar dute, eta bidean zehar dagoen edozein politikak benetako kanpoko trafikoa onartu behar du, asmatutako ataka-zenbaki bat beharrean. TCP 443ren aurka idatzitako arau batek ez du bat egingo 50 protokoloarekin, norbait TLS ziurtzat jo duelako.
ESP natiboa 50 IP protokoloa da. Ez da TCP 50 eta ez da UDP 50, eta TCP ez den trafikoa blokeatzen duen arau batek baztertu egingo du. Diseinuak UDP kapsulatzea erabiltzen badu, ikusgai dagoen garraioa kapsulatze-atariko portura aldatzen da, eta politikak aukeratutako diseinuarekin bat egin behar du.
Paketearen tamainak ere badu garrantzia. Zunda txiki bat daraman bide batek ez du frogatzen kapsulatutako truke osoa sartzen denik. Pakete handiak botatzen dituen bide batek negoziazioak arrakasta izatea eta lan-kargak huts egitea eragin dezake, eta hori aplikazioaren arazo dirudi. Probatu benetako lan-kargaren tamainako trafikoarekin tunela erruduntzat jo aurretik.
Zergatik aldatzen duen simulatzaileak galdera
Simulatzaile bat ez da funtzio-zerrenda laburragoa duen bideratzaile bat; dokumentatutako azpimultzo bat eta gailu jakin bat zer egiteko konfiguratu daitekeenari buruzko bere arauak dituen modeloa da. Cisco Packet Tracerren ohiko galderetan argi esaten da gailuak eta protokoloak modelo sinplifikatuak direla.
Beraz, galdera hiru galdera bihurtzen da. Gailu simulatuak eszenatokiak behar dituen paketeak birbidaltzen al ditu? Gailu berak ikasgaiak suposatzen duen konfigurazio-azalera eskaintzen al du? Eta onartutako komandoak portaera benetan simulatua dagoela esan nahi du, edo soilik sintaktikoki onartu dela?
Falta den komando bat modeloaren muga izan daiteke, eta ez zure konfigurazioko akats bat. Dagoen komando batek sintaxia onar dezake, ekoizpen-portaera guztiak erreproduzitu gabe. Egiaztatu instalatutako bertsioaren gailu-laguntza, norabide batean edo bestean ondorioztatu aurretik.
Laborategirako gainditzeko baldintza idaztea
Underlay ikasgai baterako, gainditzeko baldintza muturren irisgarritasuna da, gehi tarteko gailua zeharkatzen duten kanpoko paketeak. Frogatu simulatzailearen kontagailuekin edo paketeen ikuspegi batekin, eta izenda ezazu ikustea espero duzun protokoloa.
IPsec ikasgai baterako, gehitu negoziazio-egoera eta LANetik LANera babestutako fluxu bat. Simulatzaileak segurtasun-elkarteak erakusten baditu, erregistratu itzazu. Ez baditu erakusten, esan hori txostenean, tunela egiaztatu dela iradoki beharrean.
Gorde simulatzailearen bertsioa, aukeratutako gailuak eta ikaskuntza-helburua topologia-fitxategiarekin batera. Erregistro horrek ahalbidetzen dio beste norbaiti ariketa erreproduzitzea eta zein atal modelatu ziren ulertzea.
Ekoizpen-konfigurazioak bere plataforma-frogak behar ditu. Pakete simulatu berde bat irakaskuntzako emaitza da, ez inplementatuko duzun hardwareari buruzko bateragarritasun-adierazpen bat.