Þarf beinirinn milli tveggja IPsec-jafningja IPsec?

Verkefni í labori sem segir „stilltu IPsec milli tveggja staða“ felur tvö ólík verk. Endapunktarnir tveir ljúka göngunni: þeir semja, auðkenna, dulrita og afkóða. Sérhver beinir þar á milli sendir áfram paka sem ytri hausnum tilheyrir endapunktunum, og gerir það án þess að vita að göngin séu til.

Að ákveða hvaða verk er óskað eftir af tæki er fyrsta skref verkefnisins. Mest af ruglingnum í laboratoriumskjölum, og góður hluti ruglingsins í framleiðsluteikningum, kemur af því að meðhöndla „styður IPsec“ sem eina eiginleika í stað tveggja.

Að senda áfram er ekki að ljúka

Í gönguhætti er ytri IP-hausnum beint að tækjunum sem ljúka göngunni. Beinir í miðjunni flettir upp áfangastað og sendir áfram, nákvæmlega eins og með hvaða annað pakka sem er, og farmurinn sem hann ber er ógagnsær fyrir honum.

Sú ógagnsæi er viljandi. Beinirinn hefur ekki leyndarmál jafningsins, stýrir engum samningaviðræðum og þarf enga stefnugagnagrunn. Hann þarf leið að fjarlæga endapunktinum og leyfi til að senda pakkann áfram.

Að rugla þessu tvennu leiðir til raunverulegra mistaka: að biðja gegnumstreymiseldvegg að „leyfa IPsec“ þegar raunverulega krafan er að leyfa siðareglur 50 milli tiltekinna vistfanga, eða að búast við því að millitæki afkóði til skoðunar þegar það hefur engan lykil.

Það sem millitækið verður samt að gera rétt

Framsending hefur sínar eigin kröfur. Leiðir verða að ná báðum ytri endapunktum, og hver stefna á leiðinni verður að leyfa raunverulega ytri umferð frekar en giskað portnúmer. Regla sem skrifuð er gegn TCP 443 vegna þess að einhver gerði ráð fyrir TLS mun ekki passa við siðareglur 50.

Innfædd ESP er IP-siðareglur 50. Það er ekki TCP 50 og ekki UDP 50, og regla sem lokar á umferð sem er ekki TCP mun sleppa því. Ef hönnunin notar UDP-innvafningu breytist sýnilega flutningurinn í innvafningsportinn, og stefnan verður að passa við hönnunina sem valin var.

Pakkastærð skiptir líka máli. Leið sem ber litla könnun sannar ekki að allur innvafði skiptin passi. Slóð sem sleppir stórum pökkum getur látið samningaviðræðurnar heppnast og vinnuálagið mistakast, sem lítur út eins og vandamál í forriti. Prófaðu með umferð af stærð raunverulega vinnuálagsins áður en þú kennir göngunni um.

Hvers vegna hermirinn breytir spurningunni

Hermir er ekki beinir með styttri eiginleikalista; hann er líkan með skjalfestu hlutmengi og sínum eigin reglum um hvað hægt er að stilla tiltekið tæki til að gera. Algengar spurningar Cisco um Packet Tracer segja skýrt að tæki og siðareglur séu einfölduð líkön.

Þannig verður spurningin þrjár spurningar. Sendir hermt tækið áfram þá pakka sem atburðarásin þarf? Býður sama tæki upp á það stillingarflöt sem kennslustundin gerir ráð fyrir? Og þýðir samþykkt skipun að hegðunin sé raunverulega hermd, eða aðeins greind?

Fjarverandi skipun getur verið takmörkun líkans frekar en mistök í stillingunni þinni. Til staðar skipun getur samþykkt setningafræði án þess að endurskapa alla framleiðsluhegðun. Skoðaðu tækjahjálp uppsettu útgáfunnar áður en þú ályktar í aðra hvora áttina.

Að skrifa samþykkisskilyrði fyrir verkefnið

Fyrir undirlags-kennslustund er samþykkisskilyrðið að endapunktar séu aðgengilegir auk ytri pakkanna sem fara um millitækið. Sannaðu það með teljurum hermirsins sjálfs eða pakkaskoðun, og nefndu siðareglurnar sem þú býst við að sjá.

Fyrir IPsec-kennslustund bætirðu við stöðu samningaviðræðnanna og einu varðveittu LAN-til-LAN flæði. Ef hermirinn sýnir öryggistengsl skaltu skrá þau. Ef ekki, segðu það í skýrslunni í stað þess að gefa í skyn að göngin hafi verið staðfest.

Haltu útgáfu hermirsins, völdu tækjunum og námsmarkmiðinu með snitstöfluskránni. Það er þessi skráning sem gerir öðrum kleift að endurtaka æfinguna og skilja hvaða hlutar voru líkanagerðir.

Framleiðslustillingar þurfa eigin sannanir um vettvang. Grænn hermdur pakki er kennsluniðurstaða, ekki yfirlýsing um samhæfni við þann vélbúnað sem þú munt setja upp.