האם הנתב בין שני עמיתי IPsec זקוק ל-IPsec?

תרגיל מעבדה שאומר „הגדירו IPsec בין שני אתרים“ מסתיר שתי עבודות שונות. שתי נקודות הקצה מסיימות את המנהרה: הן מנהלות משא ומתן, מאמתות, מצפינות ומפענחות. כל נתב שביניהן מעביר מנות שהכותרת החיצונית שלהן שייכת לנקודות הקצה, והוא עושה זאת בלי לדעת שהמנהרה קיימת.

ההחלטה איזו עבודה נדרשת מהתקן היא הצעד הראשון בתרגיל. רוב הבלבול בדוחות מעבדה, וחלק נכבד מהבלבול בתרשימי ייצור, נובע מיחס ל„תומך ב-IPsec“ כתכונה אחת במקום שתיים.

העברה אינה סיום

במצב מנהרה, כותרת ה-IP החיצונית ממוענת להתקנים שמסיימים את המנהרה. נתב באמצע מאתר את היעד ומעביר, בדיוק כפי שהיה עושה לכל מנה אחרת, והמטען שהוא נושא אטום עבורו.

האטימות הזו מכוונת. הנתב אינו מחזיק בסודו של העמית, אינו מנהל משא ומתן ואינו זקוק למסד נתוני מדיניות. הוא זקוק למסלול אל נקודת הקצה המרוחקת ולהרשאה להעביר את המנה.

ערבוב השניים מוביל לטעויות אמיתיות: לבקש מחומת אש מעבר „לאפשר IPsec“ כשהדרישה האמיתית היא לאפשר פרוטוקול 50 בין כתובות מסוימות, או לצפות שהתקן ביניים יפענח לצורך בדיקה כשאין לו מפתח.

מה בכל זאת חייב התקן הביניים לעשות נכון

להעברה יש דרישות משלה. המסלולים חייבים להגיע לשתי נקודות הקצה החיצוניות, וכל מדיניות לאורך הנתיב חייבת לאפשר את התעבורה החיצונית בפועל ולא מספר פורט משוער. כלל שנכתב נגד TCP 443 מפני שמישהו הניח TLS לא יתאים לפרוטוקול 50.

ESP מקורי הוא פרוטוקול IP 50. הוא אינו TCP 50 ואינו UDP 50, וכלל שחוסם תעבורה שאינה TCP יפיל אותו. אם התכן משתמש במעטפת UDP, התעבורה הנראית עוברת לפורט המעטפת, והמדיניות חייבת להתאים לתכן שנבחר.

גם גודל המנה חשוב. מסלול שנושא בדיקה קטנה אינו מוכיח שהחילוף העטוף המלא נכנס בו. נתיב שמפיל מנות גדולות יכול לאפשר למשא ומתן להצליח ולעומס העבודה להיכשל, מה שנראה כמו בעיית יישום. בדקו בתעבורה בגודל עומס העבודה האמיתי לפני שמאשימים את המנהרה.

מדוע המדמה משנה את השאלה

מדמה אינו נתב עם רשימת תכונות קצרה יותר; הוא מודל עם תת-קבוצה מתועדת וכללים משלו לגבי מה ניתן להגדיר בהתקן נתון. השאלות הנפוצות של Packet Tracer של Cisco אומרות במפורש שהתקנים והפרוטוקולים הם מודלים מפושטים.

כך השאלה הופכת לשלוש שאלות. האם ההתקן המדומה מעביר את המנות שהתרחיש צריך? האם אותו התקן מציע את משטח התצורה שהשיעור מניח? והאם הפקודה שהתקבלה אומרת שההתנהגות אכן מדומה, או רק מנותחת?

פקודה חסרה עשויה להיות מגבלת מודל ולא טעות בתצורה שלכם. פקודה קיימת עשויה לקבל תחביר מבלי לשחזר כל התנהגות ייצור. בדקו את עזרת ההתקן של הגרסה המותקנת לפני שתסיקו לאחד הכיוונים.

כתיבת תנאי מעבר למעבדה

לשיעור underlay, תנאי המעבר הוא נגישות נקודות הקצה בתוספת המנות החיצוניות שחוצות את התקן הביניים. הוכיחו זאת באמצעות מוני המדמה עצמו או תצוגת מנות, ונקבו בשם הפרוטוקול שאתם מצפים לראות.

לשיעור IPsec, הוסיפו את מצב המשא ומתן וזרימה מוגנת אחת מ-LAN ל-LAN. אם המדמה חושף אגודות אבטחה, תעדו אותן. אם לא, אמרו זאת בדוח במקום לרמוז שהמנהרה אומתה.

שמרו את גרסת המדמה, ההתקנים שנבחרו ומטרת הלמידה יחד עם קובץ הטופולוגיה. הרשומה הזו היא שמאפשרת לאחר לשחזר את התרגיל ולהבין אילו חלקים מודלו.

תצורת ייצור זקוקה לראיות פלטפורמה משלה. מנה מדומה ירוקה היא תוצאה חינוכית, לא הצהרת תאימות לגבי החומרה שתפרסו.