Apakah router di antara dua peer IPsec memerlukan IPsec?

Latihan laboratorium yang berbunyi “konfigurasikan IPsec antara dua situs” menyembunyikan dua pekerjaan berbeda. Kedua endpoint mengakhiri terowongan: mereka bernegosiasi, mengautentikasi, mengenkripsi, dan mendekripsi. Router mana pun di antaranya meneruskan paket yang header luarnya milik endpoint, dan melakukannya tanpa mengetahui terowongan itu ada.

Menentukan pekerjaan mana yang diminta dari suatu perangkat adalah langkah pertama latihan. Sebagian besar kebingungan dalam laporan laboratorium, dan cukup banyak kebingungan dalam diagram produksi, berasal dari memperlakukan “mendukung IPsec” sebagai satu sifat alih-alih dua.

Meneruskan bukan mengakhiri

Dalam mode terowongan, header IP luar dialamatkan ke perangkat yang mengakhiri terowongan. Router di tengah mencari tujuan dan meneruskan, persis seperti untuk paket lain mana pun, dan muatan yang dibawanya tidak tembus bagi router itu.

Ketidaktembusan itu disengaja. Router tidak menyimpan rahasia peer, tidak menjalankan negosiasi, dan tidak memerlukan basis data kebijakan. Router memerlukan rute menuju endpoint jauh dan izin untuk meneruskan paket.

Mencampur keduanya menimbulkan kesalahan nyata: meminta firewall transit “mengizinkan IPsec” padahal persyaratan sebenarnya adalah mengizinkan protokol 50 antara alamat tertentu, atau mengharapkan perangkat tengah mendekripsi untuk inspeksi padahal tidak memiliki kunci.

Apa yang tetap harus benar pada perangkat tengah

Penerusan memiliki persyaratannya sendiri. Rute harus mencapai kedua endpoint eksternal, dan kebijakan apa pun di sepanjang jalur harus mengizinkan lalu lintas luar yang sebenarnya, bukan nomor port yang diduga. Aturan yang ditulis terhadap TCP 443 karena seseorang mengasumsikan TLS tidak akan cocok dengan protokol 50.

ESP asli adalah protokol IP 50. Ini bukan TCP 50 dan bukan UDP 50, dan aturan yang memblokir lalu lintas non-TCP akan menjatuhkannya. Jika desain menggunakan enkapsulasi UDP, transport yang terlihat berubah ke port enkapsulasi, dan kebijakan harus cocok dengan desain yang dipilih.

Ukuran paket juga penting. Rute yang membawa probe kecil tidak membuktikan bahwa pertukaran terenkapsulasi penuh dapat masuk. Jalur yang menjatuhkan paket besar dapat membuat negosiasi berhasil dan beban kerja gagal, yang tampak seperti masalah aplikasi. Uji dengan lalu lintas seukuran beban kerja nyata sebelum menyalahkan terowongan.

Mengapa simulator mengubah pertanyaannya

Simulator bukan router dengan daftar fitur yang lebih pendek; ia adalah model dengan subset yang didokumentasikan dan aturannya sendiri tentang apa yang dapat dikonfigurasi pada perangkat tertentu. FAQ Packet Tracer Cisco menyatakan dengan jelas bahwa perangkat dan protokol adalah model yang disederhanakan.

Jadi pertanyaannya menjadi tiga pertanyaan. Apakah perangkat yang disimulasikan meneruskan paket yang dibutuhkan skenario? Apakah perangkat yang sama menawarkan permukaan konfigurasi yang diasumsikan pelajaran? Dan apakah perintah yang diterima berarti perilakunya benar-benar disimulasikan, atau hanya diuraikan?

Perintah yang tidak ada bisa jadi batas model, bukan kesalahan pada konfigurasi Anda. Perintah yang ada bisa menerima sintaks tanpa mereproduksi setiap perilaku produksi. Periksa bantuan perangkat versi yang terpasang sebelum menyimpulkan ke salah satu arah.

Menulis kondisi lulus untuk laboratorium

Untuk pelajaran underlay, kondisi lulus adalah keterjangkauan endpoint ditambah paket luar yang melintasi perangkat tengah. Buktikan dengan penghitung simulator sendiri atau tampilan paket, dan sebutkan protokol yang Anda harapkan terlihat.

Untuk pelajaran IPsec, tambahkan status negosiasi dan satu aliran LAN-ke-LAN yang terlindungi. Jika simulator menampilkan asosiasi keamanan, catatlah. Jika tidak, katakan begitu dalam laporan alih-alih menyiratkan terowongan telah diverifikasi.

Simpan versi simulator, perangkat yang dipilih, dan tujuan pembelajaran bersama berkas topologi. Catatan itulah yang memungkinkan orang lain mereproduksi latihan dan memahami bagian mana yang dimodelkan.

Konfigurasi produksi membutuhkan bukti platformnya sendiri. Paket simulasi yang hijau adalah hasil pengajaran, bukan pernyataan kompatibilitas tentang perangkat keras yang akan Anda terapkan.