Brauch de Router tëschent zwee IPsec-Peers IPsec?

Eng Ateliersübung, déi seet „konfiguréier IPsec tëschent zwee Standplazen“, verstoppt zwee verschidden Aufgaben. Déi zwou Endpunkten schléissen den Tunnel of: si verhandelen, authentifiéieren, verschlësselen an entschlësselen. Jidde Router dertëschent leet Päck weider, deenen hiren äusseren Header den Endpunkte gehéiert, an hie mécht dat, ouni ze wëssen, datt den Tunnel existéiert.

Z’entscheeden, wéi eng Aufgab vun engem Gerät gefrot gëtt, ass den éischte Schrëtt vun der Übung. De gréissten Deel vum Verwiesselen an den Ateliersberichter, an e gudden Deel vum Verwiesselen an de Produktiounsdiagrammen, kënnt dohier, datt „ënnerstëtzt IPsec“ als eng Eegenschaft behandelt gëtt amplaz vun zwou.

Weiderleeden ass net Ofschléissen

Am Tunnelmode ass den äusseren IP-Header un déi ofschléissend Geräter adresséiert. E Router an der Mëtt kuckt d’Destinatioun no an leet weider, genee wéi fir all anere Pak, an d’Nutzlaascht, déi en dréit, ass fir hien onduerchsichteg.

Déi Onduerchsichtegkeet ass bewosst. De Router huet net de Geheimnis vum Peer, féiert keng Verhandlung duerch a brauch keng Policy-Datebank. Hien brauch eng Route bis zum wäiten Endpunkt a Permissioun, de Pak weiderzeleeden.

Déi zwee ze verwiesselen féiert zu richtegen Feeler: engem Transit-Firewall ze froen, „IPsec z’erlaben“, wou d’tatsächlech Fuerderung ass, Protokoll 50 tëscht bestëmmten Adressen z’erlaben, oder ze erwaarden, datt en Zwëschegerät fir d’Inspektioun entschlësselt, wou et keen Schlëssel huet.

Wat d’Zwëschegerät trotzdeem richteg muss kréien

D’Weiderleeden huet seng eege Fuerderungen. D’Routen mussen déi zwou extern Ennpunkten erreechen, an all Policy laanscht de Wee muss den tatsächlechen äusseren Trafik erlaben an net eng geroden Portnummer. Eng Regel, déi géint TCP 443 geschriwwe gouf, well een TLS ugeholl huet, passt net op Protokoll 50.

Native ESP ass IP-Protokoll 50. Et ass net TCP 50 an net UDP 50, an eng Regel, déi net-TCP-Trafik blockéiert, verwërft en. Wann den Design UDP-Encapsulation benotzt, ännert sech den sichtbaren Transport op den Encapsulation-Port, an d’Policy muss zum gewielten Design passen.

D’Pakegréisst ass och wichteg. Eng Route, déi eng kleng Sonde dréit, beweist net, datt dee ganze gekapselten Austausch eragepasst. E Wee, deen grouss Päck verwërft, kann d’Verhandlung geléngen an d’Aarbechtslaascht scheitere loossen, wat wéi en Applikatiounsproblem ausgesäit. Test mat Trafik an der Gréisst vun der richteger Aarbechtslaascht, ier Dir den Tunnel beschëllegt.

Firwat den Simulator d’Fro ännert

En Simulator ass keen Router mat enger méi kuerzer Funktiounslëscht; et ass e Modell mat enger dokumentéierter Ënnermeng a sengen eegene Reegelen driwwer, wat een bestëmmt Gerät konfiguréiert ka ginn ze maachen. D’Packet-Tracer-FAQ vu Cisco seet kloer, datt Geräter a Protokoller vereinfacht Modeller sinn.

Sou gëtt d’Fro dräi Froen. Leet dat simuléiert Gerät d’Päck weider, déi de Szenario brauch? Bitt dat selwecht Gerät déi Konfiguratiounsoberfläch, déi d’Lektioun unhëlt? An heescht dee akzeptéierten Uerder, datt d’Verhalen tatsächlech simuléiert gëtt, oder just analyséiert?

En Uerder, deen feelt, kann eng Modellgrenz sinn an net e Feeler an Ärer Konfiguratioun. En Uerder, deen do ass, kann d’Syntax unhuelen, ouni all Produktiounsverhalen ze reproduzéieren. Kuckt d’Gerätehelp vun der installéierter Versioun, ier Dir eng Richtung entscheet.

Eng Bestehensbedingung fir den Atelier schreiwen

Fir eng Underlay-Lektioun ass d’Bestehensbedingung d’Erreechbarkeet vun den Ennpunkten plus déi äusser Päck, déi duerch d’Zwëschegerät ginn. Beweist et mat den eegenen Zähler vum Simulator oder enger Pakansicht, a nennt de Protokoll, deen Dir erwaart ze gesinn.

Fir eng IPsec-Lektioun ergänzt Dir de Verhandlungszoustand an ee geschützte LAN-zu-LAN-Floss. Wann den Simulator Sécherheetsassociatiounen weist, notéiert se. Wann net, sot et am Bericht, amplaz ze suggeréieren, den Tunnel wier verifizéiert ginn.

Halt d’Simulatorversioun, déi gewielt Geräter an d’Léierziel beim Topologiefich. Eréischt dëse Rekord erlaabt et aneren, d’Übung z’erëmhuelen an ze verstoen, wéi eng Deeler modelléiert goufen.

Produktiounskonfiguratioun brauch seng eege Plattformbeweiser. E grénge simuléierte Pak ass en Unterrechtresultat, keng Kompatibilitéitsausso iwwer d’Hardware, déi Dir wäert asetzen.