Tarvitseeko kahden IPsec-vertaiskumppanin välinen reititin IPsecin?

Laboratorioharjoitus, joka sanoo ”määritä IPsec kahden toimipisteen välille”, kätkee kaksi eri tehtävää. Kaksi päätepistettä päättää tunnelin: ne neuvottelevat, todennusvat, salaavat ja purkavat salauksen. Jokainen välissä oleva reititin välittää paketteja, joiden ulompi otsake kuuluu päätepisteille, ja tekee sen tietämättä tunnelin olemassaolosta.

Sen päättäminen, mitä tehtävää laitteelta pyydetään, on harjoituksen ensimmäinen askel. Suurin osa laboratorioraporttien sekaannuksesta ja huomattava osa tuotantokaavioiden sekaannuksesta tulee siitä, että ”tukee IPsec:iä” käsitellään yhtenä ominaisuutena kahden sijaan.

Välittäminen ei ole päättämistä

Tunnelitilassa ulompi IP-otsake on osoitettu tunnelin päättäville laitteille. Keskellä oleva reititin hakee kohteen ja välittää eteenpäin täsmälleen kuten mille tahansa muulle paketille, ja sen kantama hyötykuorma on sille läpinäkymätön.

Läpinäkymättömyys on tarkoituksellista. Reitittimellä ei ole vertaiskumppanin salaisuutta, se ei käy neuvottelua eikä tarvitse käytäntötietokantaa. Se tarvitsee reitin kaukaiseen päätepisteeseen ja luvan välittää paketti.

Kahden asian sekoittaminen johtaa todellisiin virheisiin: pyydetään läpikulkupalomuuria ”sallimaan IPsec”, kun todellinen vaatimus on sallia protokolla 50 tiettyjen osoitteiden välillä, tai odotetaan välilaitteen purkavan salauksen tarkastusta varten, vaikka sillä ei ole avainta.

Mitä välilaitteen on silti osattava

Välittämisellä on omat vaatimuksensa. Reittien on yllettävä molempiin ulkoisiin päätepisteisiin, ja jokaisen reitin varrella olevan käytännön on sallittava todellinen ulompi liikenne eikä arvattu porttinumero. Sääntö, joka on kirjoitettu TCP 443:ta vastaan jonkun oletettua TLS:n, ei vastaa protokollaa 50.

Natiivi ESP on IP-protokolla 50. Se ei ole TCP 50 eikä UDP 50, ja sääntö, joka estää muun kuin TCP-liikenteen, pudottaa sen. Jos suunnittelu käyttää UDP-kapselointia, näkyvä kuljetus vaihtuu kapselointiporttiin, ja käytännön on vastattava valittua suunnittelua.

Myös paketin koolla on merkitystä. Reitti, joka kuljettaa pienen luotaimen, ei todista, että koko kapseloitu vaihto mahtuu. Polku, joka pudottaa suuria paketteja, voi antaa neuvottelun onnistua ja työkuorman epäonnistua, mikä näyttää sovellusongelmalta. Testaa todellisen työkuorman kokoisella liikenteellä ennen kuin syytät tunnelia.

Miksi simulaattori muuttaa kysymystä

Simulaattori ei ole reititin, jossa on lyhyempi ominaisuusluettelo; se on malli, jolla on dokumentoitu osajoukko ja omat sääntönsä siitä, mitä tietylle laitteelle voi määrittää. Ciscon Packet Tracerin usein kysytyissä kysymyksissä sanotaan selvästi, että laitteet ja protokollat ovat yksinkertaistettuja malleja.

Niinpä kysymyksestä tulee kolme kysymystä. Välittääkö simuloitu laite ne paketit, joita skenaario tarvitsee? Tarjoaako sama laite sen määrityspinnan, jonka oppitunti olettaa? Ja tarkoittaako hyväksytty komento, että käyttäytyminen todella simuloidaan vai vain jäsennetään?

Puuttuva komento voi olla mallin rajoitus eikä virhe määrityksessäsi. Olemassa oleva komento voi hyväksyä syntaksin toistamatta kaikkia tuotantokäyttäytymisiä. Tarkista asennetun version laiteohje ennen kuin päättelet kumpaankaan suuntaan.

Läpäisyehdon kirjoittaminen laboratoriolle

Underlay-oppitunnilla läpäisyehto on päätepisteiden tavoitettavuus sekä välilaitteen läpi kulkevat ulommat paketit. Todista se simulaattorin omilla laskureilla tai paketenäkymällä ja nimeä protokolla, jonka odotat näkeväsi.

IPsec-oppitunnilla lisää neuvottelutila ja yksi suojattu LAN-to-LAN-virta. Jos simulaattori näyttää tietoturvayhteydet, kirjaa ne. Jos ei, kerro se raportissa sen sijaan, että antaisit ymmärtää tunnelin tulleen vahvistetuksi.

Säilytä simulaattorin versio, valitut laitteet ja oppimistavoite topologiatiedoston kanssa. Juuri tämä kirjaus mahdollistaa harjoituksen toistamisen ja sen ymmärtämisen, mitkä osat mallinnettiin.

Tuotantomääritys tarvitsee omat alustanäyttönsä. Vihreä simuloitu paketti on opetustulos, ei yhteensopivuuslausuma laitteistosta, jonka otat käyttöön.