Екі IPsec серіктесі арасындағы маршрутизаторға IPsec қажет пе?

«Екі алаң арасында IPsec конфигурациялаңыз» дейтін зертханалық жаттығу екі түрлі жұмысты жасырады. Екі соңғы нүкте туннельді аяқтайды: олар келіссөз жүргізеді, аутентификациялайды, шифрлайды және шифрды шешеді. Арасындағы кез келген маршрутизатор сыртқы тақырыпшасы соңғы нүктелерге тиесілі пакеттерді жібереді және мұны туннельдің бар екенін білмей жасайды.

Құрылғыдан қандай жұмыс талап етілетінін шешу — жаттығудың бірінші қадамы. Зертханалық есептердегі шатасудың көп бөлігі және өндірістік диаграммалардағы шатасудың едәуір бөлігі «IPsec қолдайды» дегенді екі емес, бір қасиет ретінде қараудан туындайды.

Жіберу — аяқтау емес

Туннель режимінде сыртқы IP тақырыпша туннельді аяқтайтын құрылғыларға адрестелген. Ортадағы маршрутизатор межелі орынды іздеп, басқа кез келген пакеттегідей жібереді, ал ол тасымалдайтын пайдалы жүктеме ол үшін түсініксіз.

Бұл түсініксіздік әдейі. Маршрутизатор серіктестің құпиясын сақтамайды, келіссөз жүргізбейді және саясат дерекқоры қажет емес. Оған алыс соңғы нүктеге дейінгі маршрут және пакетті жіберуге рұқсат қажет.

Екеуін шатастыру нақты қателерге әкеледі: нақты талап нақты мекенжайлар арасында 50 протоколына рұқсат беру болғанда, транзиттік қауіпсіздік қабырғасынан «IPsec рұқсат етуді» сұрау немесе кілті жоқ кезде аралық құрылғы тексеру үшін шифрды шешеді деп күту.

Аралық құрылғы бәрібір нені дұрыс істеуі керек

Жіберудің өз талаптары бар. Маршруттар екі сыртқы соңғы нүктеге жетуі керек, және жол бойындағы кез келген саясат болжамды порт нөмірін емес, нақты сыртқы трафикті рұқсат етуі керек. Біреу TLS деп болжағандықтан TCP 443-ке қарсы жазылған ереже 50 протоколына сәйкес келмейді.

Жергілікті ESP — IP 50 протоколы. Ол TCP 50 емес және UDP 50 емес, ал TCP емес трафикті блоктайтын ереже оны тастайды. Егер жоба UDP инкапсуляциясын қолданса, көрінетін тасымал инкапсуляция портына ауысады, ал саясат таңдалған жобаға сәйкес болуы керек.

Пакет өлшемі де маңызды. Кішкентай зонд таситын маршрут толық инкапсуляцияланған алмасудың сыятынын дәлелдемейді. Үлкен пакеттерді тастайтын жол келіссөздің сәтті болуына, ал жұмыс жүктемесінің сәтсіз болуына әкелуі мүмкін, бұл қолданба мәселесіне ұқсайды. Туннельді кінәламас бұрын нақты жұмыс жүктемесінің өлшеміндегі трафикпен сынаңыз.

Неге симулятор сұрақты өзгертеді

Симулятор — қысқарақ функциялар тізімі бар маршрутизатор емес; ол құжатталған ішкі жиынмен және берілген құрылғыны не істеуге конфигурациялауға болатыны туралы өз ережелерімен модель. Cisco Packet Tracer жиі қойылатын сұрақтары құрылғылар мен протоколдардың жеңілдетілген модельдер екенін анық айтады.

Осылайша сұрақ үш сұраққа айналады. Симуляцияланған құрылғы сценарийге қажет пакеттерді жібере ме? Сол құрылғы сабақ болжайтын конфигурация бетін ұсына ма? Және қабылданған команда мінез-құлық шынымен симуляцияланады дегенді білдіре ме, әлде тек талдана ма?

Жоқ команда модель шектеуі болуы мүмкін, конфигурацияңыздағы қате емес. Бар команда барлық өндірістік мінез-құлықты қайталамай-ақ синтаксисті қабылдауы мүмкін. Кез келген бағытта қорытынды жасамас бұрын орнатылған нұсқаның құрылғы анықтамасын тексеріңіз.

Зертхана үшін өту шартын жазу

Underlay сабағы үшін өту шарты — соңғы нүктелердің қолжетімділігі және аралық құрылғыдан өтетін сыртқы пакеттер. Мұны симулятордың өз есептегіштерімен немесе пакеттер көрінісімен дәлелдеп, күтетін протоколды атаңыз.

IPsec сабағы үшін келіссөз күйін және бір қорғалған LAN-нан-LAN-ға ағынын қосыңыз. Симулятор қауіпсіздік ассоциацияларын көрсетсе, оларды жазып алыңыз. Көрсетпесе, туннель тексерілді деп меңземей, мұны есепте айтыңыз.

Симулятор нұсқасын, таңдалған құрылғыларды және оқу мақсатын топология файлымен бірге сақтаңыз. Дәл осы жазба басқа біреуге жаттығуды қайталауға және қай бөліктер модельденгенін түсінуге мүмкіндік береді.

Өндірістік конфигурация өз платформа дәлелдерін қажет етеді. Жасыл симуляцияланған пакет — оқыту нәтижесі, ал сіз енгізетін аппараттық қамтамасыз ету туралы үйлесімділік мәлімдемесі емес.