क्या दो IPsec साथियों के बीच के राउटर को IPsec चाहिए?

एक प्रयोगशाला अभ्यास जो कहता है “दो साइटों के बीच IPsec कॉन्फ़िगर करें” दो अलग काम छिपाता है। दोनों छोर टनल समाप्त करते हैं: वे बातचीत करते हैं, प्रमाणित करते हैं, एन्क्रिप्ट और डिक्रिप्ट करते हैं। बीच का कोई भी राउटर ऐसे पैकेट आगे भेजता है जिनका बाहरी हेडर छोरों का होता है, और यह टनल के होने की जानकारी के बिना करता है।

यह तय करना कि किसी उपकरण से कौन सा काम माँगा जा रहा है, अभ्यास का पहला कदम है। प्रयोगशाला रिपोर्टों में अधिकांश उलझन, और उत्पादन आरेखों में काफ़ी उलझन, “IPsec का समर्थन करता है” को दो के बजाय एक गुण मानने से आती है।

अग्रेषण समाप्ति नहीं है

टनल मोड में बाहरी IP हेडर टनल समाप्त करने वाले उपकरणों को संबोधित होता है। बीच वाला राउटर गंतव्य देखकर आगे भेजता है, ठीक वैसे ही जैसे किसी भी अन्य पैकेट के लिए, और वह जो पेलोड ले जाता है वह उसके लिए अपारदर्शी है।

यह अपारदर्शिता जानबूझकर है। राउटर के पास साथी का रहस्य नहीं होता, वह कोई बातचीत नहीं करता और उसे नीति डेटाबेस की ज़रूरत नहीं होती। उसे दूर के छोर तक मार्ग और पैकेट आगे भेजने की अनुमति चाहिए।

दोनों को मिलाने से वास्तविक गलतियाँ होती हैं: ट्रांज़िट फ़ायरवॉल से “IPsec की अनुमति दें” कहना जबकि वास्तविक आवश्यकता विशिष्ट पतों के बीच प्रोटोकॉल 50 की अनुमति देना है, या यह अपेक्षा करना कि बीच का उपकरण निरीक्षण के लिए डिक्रिप्ट करेगा जबकि उसके पास कोई कुंजी नहीं है।

बीच के उपकरण को फिर भी क्या सही करना चाहिए

अग्रेषण की अपनी आवश्यकताएँ हैं। मार्गों को दोनों बाहरी छोरों तक पहुँचना चाहिए, और रास्ते की हर नीति को अनुमानित पोर्ट संख्या के बजाय वास्तविक बाहरी ट्रैफ़िक की अनुमति देनी चाहिए। TCP 443 के विरुद्ध लिखा गया नियम, क्योंकि किसी ने TLS मान लिया, प्रोटोकॉल 50 से मेल नहीं खाएगा।

मूल ESP IP प्रोटोकॉल 50 है। यह TCP 50 नहीं है और UDP 50 नहीं है, और गैर-TCP ट्रैफ़िक को रोकने वाला नियम इसे गिरा देगा। अगर डिज़ाइन UDP एन्कैप्सुलेशन का उपयोग करता है, तो दिखने वाला परिवहन एन्कैप्सुलेशन पोर्ट पर बदल जाता है, और नीति को चुने गए डिज़ाइन से मेल खाना चाहिए।

पैकेट का आकार भी मायने रखता है। छोटी जाँच ले जाने वाला मार्ग यह साबित नहीं करता कि पूरा एन्कैप्सुलेटेड आदान-प्रदान उसमें आ जाता है। बड़े पैकेट गिराने वाला रास्ता बातचीत को सफल और कार्यभार को असफल छोड़ सकता है, जो एप्लिकेशन की समस्या जैसा दिखता है। टनल को दोष देने से पहले वास्तविक कार्यभार के आकार के ट्रैफ़िक से परखें।

सिम्युलेटर सवाल क्यों बदल देता है

सिम्युलेटर छोटी सुविधा-सूची वाला राउटर नहीं है; यह एक मॉडल है जिसका प्रलेखित उपसमुच्चय और अपने नियम हैं कि किसी दिए गए उपकरण को क्या करने के लिए कॉन्फ़िगर किया जा सकता है। Cisco के Packet Tracer सामान्य प्रश्न स्पष्ट कहते हैं कि उपकरण और प्रोटोकॉल सरलीकृत मॉडल हैं।

इसलिए सवाल तीन सवाल बन जाता है। क्या अनुकरण किया गया उपकरण परिदृश्य के लिए ज़रूरी पैकेट आगे भेजता है? क्या वही उपकरण वह कॉन्फ़िगरेशन सतह देता है जिसे पाठ मानता है? और क्या स्वीकृत कमांड का अर्थ है कि व्यवहार वास्तव में अनुकरण किया जा रहा है, या केवल विश्लेषण?

अनुपस्थित कमांड आपके कॉन्फ़िगरेशन की गलती नहीं बल्कि मॉडल की सीमा हो सकती है। मौजूद कमांड हर उत्पादन व्यवहार को दोहराए बिना सिंटैक्स स्वीकार कर सकती है। किसी भी दिशा में निष्कर्ष निकालने से पहले स्थापित संस्करण की उपकरण सहायता देखें।

प्रयोगशाला के लिए उत्तीर्णता शर्त लिखना

अंडरले पाठ के लिए उत्तीर्णता शर्त छोरों की पहुँच और बीच के उपकरण से गुजरने वाले बाहरी पैकेट हैं। इसे स्वयं सिम्युलेटर के काउंटरों या पैकेट दृश्य से सिद्ध करें, और उस प्रोटोकॉल का नाम लें जिसे आप देखने की अपेक्षा करते हैं।

IPsec पाठ के लिए बातचीत की स्थिति और LAN से LAN तक एक संरक्षित प्रवाह जोड़ें। अगर सिम्युलेटर सुरक्षा संबद्धताएँ दिखाता है तो उन्हें दर्ज करें। अगर नहीं दिखाता, तो रिपोर्ट में यह कहें बजाय यह संकेत देने के कि टनल सत्यापित हो गया।

सिम्युलेटर का संस्करण, चुने गए उपकरण और सीखने का उद्देश्य टोपोलॉजी फ़ाइल के साथ रखें। यही अभिलेख किसी और को अभ्यास दोहराने और यह समझने देता है कि कौन से हिस्से मॉडल किए गए थे।

उत्पादन कॉन्फ़िगरेशन को अपने प्लेटफ़ॉर्म के प्रमाण चाहिए। हरा अनुकरण किया गया पैकेट एक शिक्षण परिणाम है, उस हार्डवेयर के बारे में अनुकूलता का बयान नहीं जिसे आप तैनात करेंगे।