Hat de router tusken twa IPsec-peers IPsec nedich?

In laboratoariumoefening dy’t seit “konfigurearje IPsec tusken twa lokaasjes” ferberget twa ferskillende taken. De twa einpunten beëinigje de tunnel: se ûnderhannelje, autentisearje, fersiferje en ûntsiferje. Elke router dertusken stjoert pakketten troch wêrfan’t de bûtenste kop by de einpunten heart, en docht dat sûnder te witten dat de tunnel bestiet.

Bespraak hokker taak fan in apparaat frege wurdt, is de earste stap fan ‘e oefening. It measte betizing yn laboratoariumferslaggen, en in goed part fan ‘e betizing yn produksjediagrammen, komt derfan dat “stipe IPsec” as ien eigenskip behannele wurdt ynstee fan twa.

Trochstjoere is net beëinigje

Yn tunnelmodus is de bûtenste IP-kop adressearre oan ‘e beëinigjende apparaten. In router yn ‘e midden siket de bestimming op en stjoert troch, krekt as foar elk oar pakket, en de lading dy’t er draacht is ûntrochsichtich foar him.

Dy ûntrochsichtigens is opsetlik. De router hat it geheim fan ‘e peer net, fiert gjin ûnderhanneling en hat gjin beliedsdatabank nedich. Hy hat in rûte nei it fierste einpunt nedich en tastimming om it pakket troch te stjoeren.

De twa trochelbringt liedt ta echte flaters: in trochfierfirewall freegje om “IPsec tastean”, wylst de echte eask is om protokoll 50 tusken bepaalde adressen ta te stean, of ferwachtsje dat in tuskenapparaat ûntsiferet foar ynspeksje wylst it gjin kaai hat.

Wat it tuskenapparaat dochs goed krije moat

Trochstjoeren hat syn eigen easken. Rûtes moatte beide eksterne einpunten berikke, en elk belied lâns de rûte moat it werklike bûtenferkear tastean ynstee fan in rieden poartnûmer. In regel skreaun tsjin TCP 443 om’t immen TLS oannaam, sil net by protokoll 50 passe.

Lânseigen ESP is IP-protokoll 50. It is gjin TCP 50 en gjin UDP 50, en in regel dy’t net-TCP-ferkear blokkearret, sil it falle litte. As it ûntwerp UDP-ynkapseleing brûkt, feroaret it sichtbere ferfier nei de ynkapselepoarte, en it belied moat by it keazen ûntwerp passe.

Pakketgrutte is ek fan belang. In rûte dy’t in lytse probe draacht, bewiist net dat de folsleine ynkapsele útwikseling deryn past. In paad dat grutte pakketten falle lit, kin de ûnderhanneling slagje litte en de wurklêst mislearje, wat as in applikaasjeprobleem liket. Test mei ferkear fan ‘e grutte fan ‘e echte wurklêst foardat jo de tunnel de skuld jouwe.

Wêrom’t de simulaasje de fraach feroaret

In simulaasje is gjin router mei in koartere funksjelist; it is in model mei in dokumintearre subset en syn eigen regels oer wat in beskaat apparaat konfigurearre wurde kin om te dwaan. De Packet Tracer-FAQ fan Cisco seit dúdlik dat apparaten en protokollen ferienfâldige modellen binne.

Sa wurdt de fraach trije fragen. Stjoert it simulearre apparaat de pakketten troch dy’t it senario nedich hat? Biedt itselde apparaat it konfiguraasje-oerflak dat de les ferûnderstelt? En betsjut it akseptearre kommando dat it gedrach echt simulearre wurdt, of allinnich parsearre?

In ôfwêzich kommando kin in modelgrins wêze ynstee fan in flater yn jo konfiguraasje. In oanwêzich kommando kin syntaksis akseptearje sûnder elk produksjegedrach te reprodusearjen. Kontrolearje de apparaathelp fan ‘e ynstallearre ferzje foardat jo ien fan beide kanten konkludearje.

In slagingsbetingst foar it laboratoarium skriuwe

Foar in underlay-les is de slagingsbetingst berikberens fan ‘e einpunten plus de bûtenste pakketten dy’t it tuskenapparaat passearje. Bewiis it mei de tellers fan ‘e simulaasje sels of in pakketbyld, en neam it protokoll dat jo ferwachtsje te sjen.

Foar in IPsec-les foegje jo de ûnderhannelingsstatus en ien beskerme LAN-nei-LAN-stream ta. As de simulaasje feiligensassosjaasjes toant, registrearje se. Docht it dat net, sis dat dan yn it ferslach ynstee fan te ymplisearjen dat de tunnel ferifiearre is.

Hâld de simulaasjeferzje, de keazen apparaten en it leardoel by it topologybestân. Krekt dat ferslach lit oaren de oefening reprodusearje en begripe hokker dielen modellearre binne.

Produksjekonfiguraasje hat syn eigen platfoarmbewiis nedich. In grien simulearre pakket is in ûnderwiisresultaat, gjin kompatibiliteitsferklearring oer de hardware dy’t jo úteinliks ynsette.