Precisa IPsec o router entre dous pares IPsec?

Un exercicio de laboratorio que di «configura IPsec entre dous sitios» esconde dous traballos distintos. Os dous extremos terminan o túnel: negocian, autentican, cifran e descifran. Calquera router intermedio reenvía paquetes cuxa cabeceira externa pertence aos extremos, e faino sen saber que o túnel existe.

Decidir que traballo se lle pide a un dispositivo é o primeiro paso do exercicio. A maior parte da confusión nos informes de laboratorio, e boa parte da confusión nos diagramas de produción, vén de tratar «admite IPsec» como unha soa propiedade en lugar de dúas.

Reenviar non é terminar

En modo túnel, a cabeceira IP externa vai dirixida aos dispositivos que terminan o túnel. Un router no medio consulta o destino e reenvía, exactamente igual que con calquera outro paquete, e a carga útil que transporta resulta opaca para el.

Esa opacidade é deliberada. O router non garda o segredo do par, non executa unha negociación e non necesita unha base de datos de políticas. Necesita unha ruta cara ao extremo remoto e permiso para reenviar o paquete.

Confundir ambas as cousas leva a erros reais: pedirlle a un cortalumes de tránsito que «permita IPsec» cando o requisito real é permitir o protocolo 50 entre enderezos concretos, ou esperar que un dispositivo intermedio descifre para inspeccionar cando non ten ningunha clave.

O que o dispositivo intermedio debe acertar igualmente

O reenvío ten os seus propios requisitos. As rutas deben alcanzar ambos os extremos externos, e calquera política do camiño debe permitir o tráfico externo real en lugar dun número de porto suposto. Unha regra escrita contra TCP 443 porque alguén asumiu TLS non coincidirá co protocolo 50.

O ESP nativo é o protocolo IP 50. Non é TCP 50 nin UDP 50, e unha regra que bloquee o tráfico que non sexa TCP descartarao. Se o deseño usa encapsulación UDP, o transporte visible pasa ao porto de encapsulación, e a política debe coincidir co deseño elixido.

O tamaño dos paquetes tamén importa. Unha ruta que transporta unha sonda pequena non demostra que caiba o intercambio encapsulado completo. Un camiño que descarta paquetes grandes pode deixar que a negociación teña éxito e que a carga de traballo falla, o que parece un problema de aplicación. Proba con tráfico do tamaño da carga real antes de culpar o túnel.

Por que o simulador cambia a pregunta

Un simulador non é un router cunha lista de funcións máis curta; é un modelo cun subconxunto documentado e as súas propias regras sobre o que se pode configurar nun dispositivo dado. As preguntas frecuentes de Packet Tracer de Cisco din claramente que os dispositivos e protocolos son modelos simplificados.

Así, a pregunta convértese en tres preguntas. O dispositivo simulado reenvía os paquetes que necesita o escenario? O mesmo dispositivo ofrece a superficie de configuración que supón a lección? E o comando aceptado significa que o comportamento se simula de verdade ou só se analiza?

Un comando ausente pode ser un límite do modelo en lugar dun erro na túa configuración. Un comando presente pode aceptar a sintaxe sen reproducir todos os comportamentos de produción. Consulta a axuda do dispositivo da versión instalada antes de concluír nun sentido ou noutro.

Como escribir unha condición de aprobado para o laboratorio

Para unha lección de underlay, a condición de aprobado é a accesibilidade dos extremos máis os paquetes externos que atravesan o dispositivo intermedio. Demostrao cos contadores do propio simulador ou cunha vista de paquetes, e nomea o protocolo que esperas ver.

Para unha lección de IPsec, engade o estado de negociación e un fluxo protexido de LAN a LAN. Se o simulador expón asociacións de seguridade, rexístraas. Se non o fai, dilo no informe en lugar de insinuar que o túnel quedou verificado.

Conserva a versión do simulador, os dispositivos elixidos e o obxectivo de aprendizaxe xunto co ficheiro de topoloxía. Ese rexistro é o que permite a outra persoa reproducir o exercicio e entender que partes se modelaron.

A configuración de produción necesita as súas propias probas de plataforma. Un paquete simulado en verde é un resultado didáctico, non unha declaración de compatibilidade sobre o hardware que vas despregar.