Szüksége van IPsec-re a két IPsec-társ közötti routernek?

Az a laborfeladat, amely azt mondja: „konfigurálj IPsec-et két telephely között”, két különböző munkát rejt. A két végpont lezárja az alagutat: egyeztetnek, hitelesítenek, titkosítanak és visszafejtenek. Bármely köztes router olyan csomagokat továbbít, amelyek külső fejléce a végpontoké, és ezt anélkül teszi, hogy tudná, létezik az alagút.

Annak eldöntése, milyen munkát kérnek egy eszköztől, a gyakorlat első lépése. A laborjegyzőkönyvekben tapasztalt zavar nagy része, és a termelési diagramok zavarának jó része abból ered, hogy a „támogatja az IPsec-et” kifejezést egy tulajdonságként kezelik kettő helyett.

A továbbítás nem lezárás

Alagút módban a külső IP-fejléc a lezáró eszközöknek van címezve. A középen lévő router kikeresi a célt és továbbítja, pontosan úgy, mint bármely más csomagot, és a hordozott hasznos terhelés számára átlátszatlan.

Ez az átlátszatlanság szándékos. A router nem tartja a partner titkát, nem folytat egyeztetést, és nincs szüksége házirend-adatbázisra. Szüksége van egy útvonalra a távoli végpont felé és engedélyre a csomag továbbítására.

A kettő összekeverése valódi hibákhoz vezet: arra kérni egy tranzit tűzfalat, hogy „engedje át az IPsec-et”, amikor a valódi követelmény az 50-es protokoll engedélyezése adott címek között, vagy elvárni, hogy egy köztes eszköz vizsgálathoz visszafejtse, amikor nincs kulcsa.

Mit kell mégis jól csinálnia a köztes eszköznek

A továbbításnak megvannak a maga követelményei. Az útvonalaknak el kell érniük mindkét külső végpontot, és az útvonal mentén minden házirendnek a tényleges külső forgalmat kell engedélyeznie, nem egy feltételezett portszámot. Az a szabály, amelyet a 443-as TCP ellen írtak, mert valaki TLS-t feltételezett, nem fog illeszkedni az 50-es protokollra.

A natív ESP az 50-es IP-protokoll. Nem TCP 50 és nem UDP 50, és a nem TCP-forgalmat blokkoló szabály eldobja. Ha a tervezés UDP-burkolást használ, a látható átvitel a burkoló portra vált, és a házirendnek az választott tervezéshez kell illeszkednie.

A csomagméret is számít. Az az útvonal, amely kis próbacsomagot visz át, nem bizonyítja, hogy a teljes beburkolt csere belefér. Az a pálya, amely nagy csomagokat dob el, hagyhatja, hogy az egyeztetés sikeres legyen, és a munkaterhelés meghiúsuljon, ami alkalmazáshibának látszik. A valódi munkaterhelés méretű forgalommal tesztelj, mielőtt az alagutat hibáztatnád.

Miért változtatja meg a szimulátor a kérdést

A szimulátor nem egy rövidebb funkciólistájú router; ez egy dokumentált részhalmazú modell, saját szabályokkal arra, hogy egy adott eszköz mit tehet konfigurálva. A Cisco Packet Tracer GYIK egyértelműen kimondja, hogy az eszközök és protokollok leegyszerűsített modellek.

Így a kérdés három kérdéssé válik. Továbbítja-e a szimulált eszköz a forgatókönyvhöz szükséges csomagokat? Ugyanaz az eszköz kínálja-e azt a konfigurációs felületet, amelyet a lecke feltételez? És az elfogadott parancs azt jelenti-e, hogy a viselkedést valóban szimulálják, vagy csak elemzik?

Egy hiányzó parancs inkább modellkorlát lehet, mint hiba a konfigurációban. Egy jelen lévő parancs elfogadhatja a szintaxist anélkül, hogy minden éles viselkedést reprodukálna. Mielőtt bármelyik irányba következtetnél, nézd meg a telepített verzió eszközsúgóját.

Teljesítési feltétel írása a laborhoz

Egy underlay-leckéhez a teljesítési feltétel a végpontok elérhetősége, valamint azok a külső csomagok, amelyek áthaladnak a köztes eszközön. Bizonyítsd a szimulátor saját számlálóival vagy csomagnézettel, és nevezd meg a protokollt, amelyet látni vársz.

Egy IPsec-leckéhez add hozzá az egyeztetés állapotát és egy védett LAN-LAN folyamot. Ha a szimulátor mutat biztonsági társításokat, jegyezd fel őket. Ha nem, írd meg a jegyzőkönyvben, ahelyett hogy azt sugallnád, az alagút ellenőrizve lett.

Tartsd a szimulátor verzióját, a kiválasztott eszközöket és a tanulási célt a topológiafájl mellett. Ez a feljegyzés teszi lehetővé, hogy más is megismételje a gyakorlatot, és megértse, mely részek voltak modellezve.

Az éles konfigurációhoz saját platformbizonyíték kell. A zöld szimulált csomag tanítási eredmény, nem kompatibilitási nyilatkozat a telepíteni kívánt hardverről.