Il router tra due peer IPsec ha bisogno di IPsec?

Un esercizio di laboratorio che dice «configura IPsec tra due sedi» nasconde due lavori diversi. I due estremi terminano il tunnel: negoziano, autenticano, cifrano e decifrano. Qualsiasi router nel mezzo inoltra pacchetti la cui intestazione esterna appartiene agli estremi, e lo fa senza sapere che il tunnel esiste.

Decidere quale lavoro viene chiesto a un dispositivo è il primo passo dell’esercizio. La maggior parte della confusione nei resoconti di laboratorio, e buona parte della confusione nei diagrammi di produzione, viene dal trattare «supporta IPsec» come una sola proprietà invece di due.

Inoltrare non è terminare

In modalità tunnel, l’intestazione IP esterna è indirizzata ai dispositivi che terminano il tunnel. Un router nel mezzo cerca la destinazione e inoltra, esattamente come farebbe per qualsiasi altro pacchetto, e il carico utile che trasporta gli è opaco.

Questa opacità è deliberata. Il router non possiede il segreto del peer, non esegue una negoziazione e non ha bisogno di un database di policy. Ha bisogno di una rotta verso l’estremità remota e del permesso di inoltrare il pacchetto.

Confondere le due cose porta a errori reali: chiedere a un firewall di transito di «consentire IPsec» quando il requisito reale è consentire il protocollo 50 tra indirizzi specifici, oppure aspettarsi che un dispositivo intermedio decifri per l’ispezione quando non ha alcuna chiave.

Cosa deve comunque fare bene il dispositivo intermedio

L’inoltro ha requisiti propri. Le rotte devono raggiungere entrambe le estremità esterne, e ogni policy lungo il percorso deve consentire il traffico esterno reale anziché un numero di porta ipotizzato. Una regola scritta contro TCP 443 perché qualcuno ha dato per scontato TLS non corrisponderà al protocollo 50.

L’ESP nativo è il protocollo IP 50. Non è TCP 50 e non è UDP 50, e una regola che blocca il traffico non TCP lo scarterà. Se il progetto usa l’incapsulamento UDP, il trasporto visibile passa alla porta di incapsulamento, e la policy deve corrispondere al progetto scelto.

Anche la dimensione dei pacchetti conta. Una rotta che trasporta una sonda piccola non dimostra che lo scambio incapsulato completo ci stia. Un percorso che scarta pacchetti grandi può lasciare che la negoziazione riesca e il carico di lavoro fallisca, il che sembra un problema dell’applicazione. Prova con traffico della dimensione del carico reale prima di dare la colpa al tunnel.

Perché il simulatore cambia la domanda

Un simulatore non è un router con un elenco di funzioni più corto; è un modello con un sottoinsieme documentato e regole proprie su ciò che un dato dispositivo può essere configurato a fare. Le FAQ di Packet Tracer di Cisco dicono esplicitamente che dispositivi e protocolli sono modelli semplificati.

Così la domanda diventa tre domande. Il dispositivo simulato inoltra i pacchetti che lo scenario richiede? Lo stesso dispositivo offre la superficie di configurazione che la lezione presuppone? E il comando accettato significa che il comportamento è davvero simulato, o solo analizzato?

Un comando assente può essere un limite del modello anziché un errore nella tua configurazione. Un comando presente può accettare la sintassi senza riprodurre ogni comportamento di produzione. Controlla la guida del dispositivo della versione installata prima di concludere in un senso o nell’altro.

Scrivere una condizione di superamento per il laboratorio

Per una lezione di underlay, la condizione di superamento è la raggiungibilità delle estremità più i pacchetti esterni che attraversano il dispositivo intermedio. Dimostralo con i contatori del simulatore o una vista dei pacchetti, e nomina il protocollo che ti aspetti di vedere.

Per una lezione su IPsec, aggiungi lo stato della negoziazione e un flusso protetto da LAN a LAN. Se il simulatore espone associazioni di sicurezza, registrale. Se non lo fa, dillo nel resoconto invece di lasciar intendere che il tunnel sia stato verificato.

Conserva la versione del simulatore, i dispositivi scelti e l’obiettivo di apprendimento insieme al file della topologia. È quel registro che permette a qualcun altro di riprodurre l’esercizio e capire quali parti sono state modellate.

La configurazione di produzione richiede prove di piattaforma proprie. Un pacchetto simulato verde è un risultato didattico, non una dichiarazione di compatibilità sull’hardware che distribuirai.