სჭირდება თუ არა ორ IPsec პარტნიორს შორის მარშრუტიზატორს IPsec?

ლაბორატორიული სავარჯიშო, რომელიც ამბობს „მოაწყვეთ IPsec ორ ადგილს შორის“, ორ განსხვავებულ სამუშაოს მალავს. ორი ბოლო წერტილი გვირაბს ასრულებს: ისინი მოლაპარაკებას აწარმოებენ, ავთენტიფიკაციას აკეთებენ, შიფრავენ და შიფრს ხსნიან. შორის მდგომი ნებისმიერი მარშრუტიზატორი გადასცემს პაკეტებს, რომელთა გარე თავსართიც ბოლო წერტილებს ეკუთვნის, და ამას აკეთებს იმის ცოდნის გარეშე, რომ გვირაბი არსებობს.

იმის გადაწყვეტა, თუ რა სამუშაოს სთხოვენ მოწყობილობას, სავარჯიშოს პირველი ნაბიჯია. ლაბორატორიულ ანგარიშებში არსებული დაბნეულობის უმეტესი ნაწილი და წარმოების დიაგრამებში არსებული დაბნეულობის მნიშვნელოვანი ნაწილი იმიდან მოდის, რომ „მხარს უჭერს IPsec-ს“ ორის ნაცვლად ერთ თვისებად განიხილება.

გადაცემა დასრულება არ არის

გვირაბის რეჟიმში გარე IP თავსართი მიმართულია იმ მოწყობილობებზე, რომლებიც გვირაბს ასრულებენ. შუაში მდგომი მარშრუტიზატორი ეძებს დანიშნულებას და გადასცემს, ზუსტად ისე, როგორც ნებისმიერი სხვა პაკეტისთვის, ხოლო მის მიერ გადატანილი სასარგებლო დატვირთვა მისთვის გაუმჭვირვალეა.

ეს გაუმჭვირვალობა განზრახ არის. მარშრუტიზატორს არ აქვს პარტნიორის საიდუმლო, არ აწარმოებს მოლაპარაკებას და არ სჭირდება პოლიტიკის ბაზა. მას სჭირდება მარშრუტი შორეულ ბოლო წერტილამდე და პაკეტის გადაცემის ნებართვა.

ორივეს არევა რეალურ შეცდომებამდე მივყავართ: ტრანზიტულ ფაილვოლს ვთხოვოთ „IPsec-ის დაშვება“, მაშინ როცა რეალური მოთხოვნაა 50 პროტოკოლის დაშვება კონკრეტულ მისამართებს შორის, ან ველოდოთ, რომ შუალედური მოწყობილობა შიფრს გახსნის შესამოწმებლად, როცა მას გასაღები არ აქვს.

რა უნდა გააკეთოს შუალედურმა მოწყობილობამ მაინც სწორად

გადაცემას თავისი მოთხოვნები აქვს. მარშრუტებმა უნდა მიაღწიოს ორივე გარე ბოლო წერტილს, და გზაზე არსებულმა ნებისმიერმა პოლიტიკამ უნდა დაუშვას რეალური გარე ტრაფიკი და არა ვარაუდობილი პორტის ნომერი. წესი, რომელიც TCP 443-ის წინააღმდეგ დაიწერა, რადგან ვიღაცამ TLS ჩათვალა, არ დაემთხვევა 50 პროტოკოლს.

მშობლიური ESP არის IP 50 პროტოკოლი. ეს არ არის TCP 50 და არ არის UDP 50, და წესი, რომელიც ბლოკავს არა-TCP ტრაფიკს, გადააგდებს მას. თუ დიზაინი იყენებს UDP ინკაფსულაციას, ხილული ტრანსპორტი გადადის ინკაფსულაციის პორტზე, და პოლიტიკა უნდა შეესაბამებოდეს არჩეულ დიზაინს.

პაკეტის ზომასაც აქვს მნიშვნელობა. მარშრუტი, რომელიც პატარა ზონდს ატარებს, არ ამტკიცებს, რომ მთელი ინკაფსულირებული გაცვლა ეტევა. გზა, რომელიც დიდ პაკეტებს ყრის, შეიძლება მოლაპარაკებამ წარმატებით დასრულდეს, სამუშაო დატვირთვამ კი ჩავარდეს, რაც აპლიკაციის პრობლემას ჰგავს. სანამ გვირაბს დაადანაშაულებთ, გამოსცადეთ რეალური სამუშაო დატვირთვის ზომის ტრაფიკით.

რატომ ცვლის სიმულატორი კითხვას

სიმულატორი არ არის მარშრუტიზატორი უფრო მოკლე ფუნქციების სიით; ეს არის მოდელი დოკუმენტირებული ქვესიმრავლით და საკუთარი წესებით იმის შესახებ, თუ რისი კონფიგურირება შეიძლება მოცემულ მოწყობილობაზე. Cisco Packet Tracer-ის ხშირად დასმული კითხვები ცხადად ამბობს, რომ მოწყობილობები და პროტოკოლები გამარტივებული მოდელებია.

ამრიგად კითხვა სამ კითხვად იქცევა. გადასცემს თუ არა სიმულირებული მოწყობილობა სცენარისთვის საჭირო პაკეტებს? გთავაზობს თუ არა იგივე მოწყობილობა იმ კონფიგურაციის ზედაპირს, რომელსაც გაკვეთილი ვარაუდობს? და ნიშნავს თუ არა მიღებული ბრძანება, რომ ქცევა ნამდვილად სიმულირდება, თუ მხოლოდ ანალიზდება?

არარსებული ბრძანება შეიძლება მოდელის შეზღუდვა იყოს და არა შეცდომა თქვენს კონფიგურაციაში. არსებულმა ბრძანებამ შეიძლება მიიღოს სინტაქსი მთელი საწარმოო ქცევის გამეორების გარეშე. სანამ რომელიმე მიმართულებით დაასკვნით, შეამოწმეთ ინსტალირებული ვერსიის მოწყობილობის დახმარება.

ლაბორატორიისთვის წარმატების პირობის დაწერა

underlay გაკვეთისთვის წარმატების პირობაა ბოლო წერტილების ხელმისაწვდომობა და შუალედურ მოწყობილობაზე გამავალი გარე პაკეტები. დაამტკიცეთ ეს თავად სიმულატორის მთვლელებით ან პაკეტების ხედით და დაასახელეთ პროტოკოლი, რომელსაც ელოდებით.

IPsec გაკვეთისთვის დაამატეთ მოლაპარაკების მდგომარეობა და ერთი დაცული LAN-იდან-LAN-ში ნაკადი. თუ სიმულატორი აჩვენებს უსაფრთხოების ასოციაციებს, ჩაწერეთ ისინი. თუ არა, ეს თქვით ანგარიშში და ნუ მიანიშნებთ, რომ გვირაბი შემოწმებულია.

შეინახეთ სიმულატორის ვერსია, არჩეული მოწყობილობები და სწავლის მიზანი ტოპოლოგიის ფაილთან ერთად. სწორედ ეს ჩანაწერი აძლევს სხვას საშუალებას გაიმეოროს სავარჯიშო და გაიგოს, რომელი ნაწილები იყო მოდელირებული.

საწარმოო კონფიგურაციას საკუთარი პლატფორმის მტკიცებულება სჭირდება. მწვანე სიმულირებული პაკეტი სასწავლო შედეგია და არა თავსებადობის განაცხადი იმ ტექნიკაზე, რომელსაც განათავსებთ.