Արդյո՞ք երկու IPsec գործընկերների միջև եղած երթուղիչին IPsec է պետք։

Լաբորատոր վարժությունը, որն ասում է «կարգավորեք IPsec երկու տեղամասերի միջև», թաքցնում է երկու տարբեր աշխատանք։ Երկու ծայրակետերն ավարտում են թունելը. նրանք բանակցում են, նույնականացնում, գաղտնագրում և վերծանում։ Մեջտեղի ցանկացած երթուղիչ փոխանցում է փաթեթներ, որոնց արտաքին վերնագիրը պատկանում է ծայրակետերին, և դա անում է առանց իմանալու, որ թունելը գոյություն ունի։

Որոշելը, թե ինչ աշխատանք է պահանջվում սարքից, վարժության առաջին քայլն է։ Լաբորատոր հաշվետվություններում եղած շփոթության մեծ մասը և արտադրական դիագրամներում եղած շփոթության զգալի մասը գալիս է նրանից, որ «աջակցում է IPsec-ին» դիտարկվում է որպես մեկ հատկություն՝ երկուսի փոխարեն։

Փոխանցումը ավարտ չէ

Թունելի ռեժիմում արտաքին IP վերնագիրը հասցեագրված է թունելն ավարտող սարքերին։ Մեջտեղի երթուղիչը գտնում է նպատակակետը և փոխանցում, ճիշտ ինչպես ցանկացած այլ փաթեթի դեպքում, իսկ նրա կրած օգտակար բեռը նրա համար թափանցիկ չէ։

Այդ անթափանցիկությունը դիտավորյալ է։ Երթուղիչը չի պահում գործընկերոջ գաղտնիքը, բանակցություններ չի վարում և քաղաքականությունների բազայի կարիք չունի։ Նրան պետք է երթուղի դեպի հեռավոր ծայրակետ և փաթեթը փոխանցելու թույլտվություն։

Երկուսն իրար խառնելը բերում է իրական սխալների՝ տրանզիտ ֆայրվոլից «IPsec թույլատրել» պահանջել, երբ իրական պահանջը կոնկրետ հասցեների միջև 50 արձանագրություն թույլատրելն է, կամ սպասել, որ միջանկյալ սարքը բանալի չունենալով հանդերձ վերծանի ստուգման համար։

Ինչ պետք է միջանկյալ սարքը միևնույն է ճիշտ անի

Փոխանցումն ունի իր պահանջները։ Երթուղիները պետք է հասնեն երկու արտաքին ծայրակետերին, և ուղու վրա գտնվող ցանկացած քաղաքականություն պետք է թույլատրի իրական արտաքին երթևեկությունը, այլ ոչ թե գուշակված պորտի համարը։ Կանոնը, որը գրվել է TCP 443-ի դեմ, որովհետև ինչ-որ մեկը ենթադրել է TLS, չի համապատասխանի 50 արձանագրությանը։

Բնիկ ESP-ը IP 50 արձանագրությունն է։ Այն TCP 50 չէ և UDP 50 չէ, և ոչ TCP երթևեկությունն արգելափակող կանոնը կմերժի այն։ Եթե նախագիծը օգտագործում է UDP ինկապսուլացիա, տեսանելի տրանսպորտը փոխվում է ինկապսուլացիայի պորտի, և քաղաքականությունը պետք է համապատասխանի ընտրված նախագծին։

Փաթեթի չափը նույնպես կարևոր է։ Փոքր զոնդ կրող երթուղին չի ապացուցում, որ ամբողջ ինկապսուլացված փոխանակումը տեղավորվում է։ Խոշոր փաթեթներ թափող ուղին կարող է թույլ տալ, որ բանակցությունները հաջողվեն, իսկ աշխատանքային բեռը ձախողվի, ինչը թվում է հավելվածի խնդիր։ Նախքան թունելին մեղադրելը փորձարկեք իրական աշխատանքային բեռի չափի երթևեկությամբ։

Ինչու է սիմուլյատորը փոխում հարցը

Սիմուլյատորը ավելի կարճ ֆունկցիաների ցանկով երթուղիչ չէ. այն մոդել է փաստաթղթավորված ենթաբազմությամբ և սեփական կանոններով այն մասին, թե տվյալ սարքին ինչ կարելի է կարգավորել անել։ Cisco Packet Tracer-ի հաճախ տրվող հարցերը հստակ նշում են, որ սարքերն ու արձանագրությունները պարզեցված մոդելներ են։

Այսպիսով հարցը դառնում է երեք հարց։ Արդյո՞ք սիմուլյացված սարքը փոխանցում է սցենարին անհրաժեշտ փաթեթները։ Արդյո՞ք նույն սարքն առաջարկում է այն կարգավորման մակերեսը, որը ենթադրում է դասը։ Եվ արդյո՞ք ընդունված հրահանգը նշանակում է, որ վարքագիծն իսկապես սիմուլյացվում է, թե միայն վերլուծվում։

Բացակայող հրահանգը կարող է մոդելի սահմանափակում լինել, այլ ոչ թե ձեր կարգավորման սխալ։ Առկա հրահանգը կարող է ընդունել շարահյուսությունը՝ չկրկնելով արտադրական ամբողջ վարքագիծը։ Նախքան որևէ ուղղությամբ եզրակացնելը ստուգեք տեղադրված տարբերակի սարքի օգնությունը։

Լաբորատորիայի անցման պայմանի գրում

underlay դասի համար անցման պայմանը ծայրակետերի հասանելիությունն ու միջանկյալ սարքով անցնող արտաքին փաթեթներն են։ Ապացուցեք դա հենց սիմուլյատորի հաշվիչներով կամ փաթեթների դիտումով և անվանեք այն արձանագրությունը, որը սպասում եք տեսնել։

IPsec դասի համար ավելացրեք բանակցությունների վիճակը և մեկ պաշտպանված LAN-ից-LAN հոսք։ Եթե սիմուլյատորը ցուցադրում է անվտանգության ասոցիացիաներ, գրանցեք դրանք։ Եթե ոչ, ասեք դա հաշվետվության մեջ՝ փոխարենը չակնարկելով, թե թունելը ստուգված է։

Պահեք սիմուլյատորի տարբերակը, ընտրված սարքերը և ուսումնական նպատակը տոպոլոգիայի ֆայլի հետ միասին։ Հենց այդ գրառումն է թույլ տալիս ուրիշին կրկնել վարժությունը և հասկանալ, թե որ մասերն են մոդելավորվել։

Արտադրական կարգավորումը պահանջում է իր սեփական հարթակային ապացույցները։ Կանաչ սիմուլյացված փաթեթը ուսուցողական արդյունք է, ոչ թե հայտարարություն այն սարքավորման համատեղելիության մասին, որը տեղակայելու եք։