Ar reikia IPsec maršrutizatoriui tarp dviejų IPsec partnerių?

Laboratorinis pratimas, sakantis „sukonfigūruok IPsec tarp dviejų vietovių“, slepia du skirtingus darbus. Du galiniai taškai užbaigia tunelį: jie derasi, autentifikuoja, šifruoja ir iššifruoja. Bet kuris tarpinis maršrutizatorius persiunčia paketus, kurių išorinė antraštė priklauso galiniams taškams, ir tai daro nežinodamas, kad tunelis egzistuoja.

Nuspręsti, kokio darbo prašoma iš įrenginio, yra pirmas pratimo žingsnis. Didžioji dalis painiavos laboratorijos aprašuose ir nemaža dalis painiavos gamybos schemose kyla iš to, kad „palaiko IPsec“ traktuojama kaip viena savybė, o ne dvi.

Persiuntimas nėra užbaigimas

Tunelio režimu išorinė IP antraštė adresuota užbaigiantiems įrenginiams. Maršrutizatorius viduryje suranda paskirties vietą ir persiunčia, lygiai kaip bet kurį kitą paketą, o jo nešamas naudingasis krūvis jam yra nepermatomas.

Tas nepermatomumas yra sąmoningas. Maršrutizatorius neturi partnerio paslapties, nevykdo derybų ir jam nereikia politikos duomenų bazės. Jam reikia maršruto iki tolimo galinio taško ir leidimo persiųsti paketą.

Sumaišius abu dalykus kyla tikros klaidos: prašoma tranzitinės ugniasienės „leisti IPsec“, kai tikrasis reikalavimas yra leisti 50 protokolą tarp konkrečių adresų, arba tikimasi, kad tarpinis įrenginys iššifruos patikrai, kai jis neturi jokio rakto.

Ką tarpinis įrenginys vis tiek turi padaryti teisingai

Persiuntimas turi savo reikalavimus. Maršrutai turi pasiekti abu išorinius galinius taškus, ir bet kokia politika kelyje turi leisti tikrąjį išorinį srautą, o ne spėjamą prievado numerį. Taisyklė, parašyta prieš TCP 443, nes kažkas numatė TLS, netiks 50 protokolui.

Natūralusis ESP yra IP 50 protokolas. Tai ne TCP 50 ir ne UDP 50, o taisyklė, blokuojanti ne TCP srautą, jį išmes. Jei dizainas naudoja UDP inkapsuliavimą, matomas transportas pasikeičia į inkapsuliavimo prievadą, ir politika turi atitikti pasirinktą dizainą.

Paketo dydis taip pat svarbus. Maršrutas, kuriuo keliauja maža zondė, neįrodo, kad visas inkapsuliuotas mainai telpa. Kelias, kuris meta didelius paketus, gali leisti deryboms pavykti, o darbo krūviui nepavykti, ir tai atrodo kaip programos problema. Prieš kaltindamas tunelį išbandyk tikrojo darbo krūvio dydžio srautu.

Kodėl simulatorius keičia klausimą

Simulatorius nėra maršrutizatorius su trumpesniu funkcijų sąrašu; tai modelis su dokumentuotu poaibiu ir savomis taisyklėmis apie tai, ką konkrečiam įrenginiui galima sukonfigūruoti. Cisco Packet Tracer DUK aiškiai sako, kad įrenginiai ir protokolai yra supaprastinti modeliai.

Taigi klausimas tampa trimis klausimais. Ar simuliuojamas įrenginys persiunčia paketus, kurių reikia scenarijui? Ar tas pats įrenginys siūlo konfigūravimo sąsają, kurią numato pamoka? Ir ar priimta komanda reiškia, kad elgsena tikrai simuliuojama, ar tik analizuojama?

Nesančios komandos gali būti modelio riba, o ne jūsų konfigūracijos klaida. Esanti komanda gali priimti sintaksę, neatkurdama visos gamybinės elgsenos. Prieš darydamas išvadas bet kuria kryptimi, patikrink įdiegtos versijos įrenginio žinyną.

Praktinio darbo sėkmės sąlygos rašymas

Underlay pamokai sėkmės sąlyga yra galinių taškų pasiekiamumas ir išoriniai paketai, einantys per tarpinį įrenginį. Įrodyk tai paties simulatoriaus skaitikliais arba paketų rodiniu ir įvardyk protokolą, kurį tikiesi pamatyti.

IPsec pamokai pridėk derybų būseną ir vieną apsaugotą LAN-LAN srautą. Jei simulatorius rodo saugos asociacijas, užrašyk jas. Jei ne, pasakyk tai ataskaitoje, o ne užsimink, kad tunelis buvo patikrintas.

Laikyk simulatoriaus versiją, pasirinktus įrenginius ir mokymosi tikslą kartu su topologijos failu. Būtent šis įrašas leidžia kam nors kitam pakartoti pratimą ir suprasti, kurios dalys buvo modeliuojamos.

Gamybinei konfigūracijai reikia atskirų platformos įrodymų. Žalias simuliuotas paketas yra mokymo rezultatas, o ne suderinamumo pareiškimas apie aparatinę įrangą, kurią diegsi.