Эки IPsec өнөктөшүнүн ортосундагы маршрутизаторго IPsec керекпи?

«Эки аянттын ортосунда IPsec конфигурациялаңыз» деген лабораториялык көнүгүү эки башка ишти жашырат. Эки акыркы чекит туннелди бүтүрөт: алар сүйлөшүү жүргүзөт, аутентификациялайт, шифрлейт жана шифрди ачат. Ортодогу ар кандай маршрутизатор тышкы аталышы акыркы чекиттерге таандык пакеттерди жөнөтөт жана муну туннелдин бар экенин билбей жасайт.

Түзмөктөн кандай иш талап кылынарын чечүү — көнүгүүнүн биринчи кадамы. Лабораториялык отчеттордогу чаташуунун көп бөлүгү жана өндүрүштүк диаграммалардагы чаташуунун олуттуу бөлүгү «IPsec колдойт» дегенди эки эмес, бир касиет катары кароодон келип чыгат.

Жөнөтүү — бүтүрүү эмес

Туннель режиминде тышкы IP аталышы туннелди бүтүргөн түзмөктөргө адрестелген. Ортодогу маршрутизатор багытты издеп, башка ар кандай пакеттегидей жөнөтөт, ал эми ал ташыган пайдалуу жүк ага түшүнүксүз.

Бул түшүнүксүздүк атайын. Маршрутизатор өнөктөштүн сырын сактабайт, сүйлөшүү жүргүзбөйт жана саясат базасын талап кылбайт. Ага алыскы акыркы чекитке чейинки маршрут жана пакетти жөнөтүүгө уруксат керек.

Экөөнү аралаштыруу чыныгы каталарга алып келет: чыныгы талап так даректердин ортосунда 50 протоколуна уруксат берүү болгондо, транзиттик коргоо дубалынан «IPsec уруксат берүүнү» суроо, же ачкычы жок кезде ортолук түзмөк текшерүү үчүн шифрди ачат деп күтүү.

Ортолук түзмөк баары бир эмнени туура кылышы керек

Жөнөтүүнүн өз талаптары бар. Маршруттар эки тышкы акыркы чекитке жетиши керек, жана жол боюндагы ар кандай саясат болжолдонгон порт номерин эмес, чыныгы тышкы трафикти уруксат бериши керек. Бирөө TLS деп болжолдогондуктан TCP 443кө каршы жазылган эреже 50 протоколуна дал келбейт.

Жергиликтүү ESP — IP 50 протоколу. Ал TCP 50 эмес жана UDP 50 эмес, ал эми TCP эмес трафикти блоктогон эреже аны таштайт. Эгер долбоор UDP инкапсуляциясын колдонсо, көрүнгөн транспорт инкапсуляция портуна өзгөрөт, ал эми саясат тандалган долбоорго туура келиши керек.

Пакеттин өлчөмү да маанилүү. Кичинекей зонд ташыган маршрут толук инкапсуляцияланган алмашуунун батканын далилдебейт. Чоң пакеттерди таштаган жол сүйлөшүүлөрдүн ийгиликтүү болушуна, ал эми жумуш жүктөмүнүн ийгиликсиз болушуна алып келиши мүмкүн, бул колдонмо маселесине окшош. Туннелди күнөөлөөдөн мурун чыныгы жумуш жүктөмүнүн өлчөмүндөгү трафик менен сынаңыз.

Эмнеге симулятор суроону өзгөртөт

Симулятор — кыска функциялар тизмеси бар маршрутизатор эмес; ал документтелген ички топтом жана берилген түзмөктү эмне кылууга конфигурациялоого болоору тууралуу өз эрежелери бар модель. Cisco Packet Tracerдин көп берилүүчү суроолору түзмөктөр менен протоколдор жөнөкөйлөштүрүлгөн моделдер экенин ачык айтат.

Ошентип суроо үч суроого айланат. Симуляцияланган түзмөк сценарийге керектүү пакеттерди жөнөтөбү? Ошол эле түзмөк сабак болжолдогон конфигурация бетини сунуштайбы? Жана кабыл алынган буйрук жүрүм-турум чын эле симуляцияланат дегенди билдиреби, же жөн гана талданабы?

Жок буйрук моделдин чектөөсү болушу мүмкүн, конфигурацияңыздагы ката эмес. Бар буйрук бардык өндүрүштүк жүрүм-турумду кайталабастан синтаксисти кабыл алышы мүмкүн. Кандайдыр бир багытта тыянак чыгарбастан мурун орнотулган версиянын түзмөк жардамын текшериңиз.

Лаборатория үчүн өтүү шартын жазуу

Underlay сабагы үчүн өтүү шарты — акыркы чекиттердин жеткиликтүүлүгү жана ортолук түзмөктөн өткөн тышкы пакеттер. Муну симулятордун өз эсептегичтери менен же пакеттер көрүнүшү менен далилдеп, күткөн протоколду атаңыз.

IPsec сабагы үчүн сүйлөшүү абалын жана бир корголгон LAN-дан LAN-га агымын кошуңуз. Эгер симулятор коопсуздук ассоциацияларын көрсөтсө, аларды жазып алыңыз. Көрсөтпөсө, туннель текшерилди деп кыйытпастан, муну отчетто айтыңыз.

Симулятор версиясын, тандалган түзмөктөрдү жана окуу максатын топология файлы менен бирге сактаңыз. Так ушул жазуу башка бирөөгө көнүгүүнү кайталоого жана кайсы бөлүктөр моделденгенин түшүнүүгө мүмкүндүк берет.

Өндүрүштүк конфигурация өз платформа далилдерин талап кылат. Жашыл симуляцияланган пакет — окутуу натыйжасы, ал эми сиз киргизе турган аппараттык камсыздоо тууралуу шайкештик билдирүүсү эмес.