Vai maršrutētājam starp diviem IPsec partneriem ir vajadzīgs IPsec?

Laboratorijas uzdevums, kas saka “konfigurē IPsec starp divām vietām”, slēpj divus dažādus darbus. Abi galapunkti izbeidz tuneli: tie pārrunā, autentificē, šifrē un atšifrē. Jebkurš maršrutētājs pa vidu pārsūta paketes, kuru ārējā galvene pieder galapunktiem, un dara to, nezinot, ka tunelis eksistē.

Izlemt, kāds darbs tiek prasīts no ierīces, ir pirmais uzdevuma solis. Lielākā daļa neskaidrību laboratorijas aprakstos un ievērojama daļa neskaidrību ražošanas diagrammās rodas no tā, ka “atbalsta IPsec” tiek uztverts kā viena īpašība, nevis divas.

Pārsūtīšana nav pārtraukšana

Tuneļa režīmā ārējā IP galvene ir adresēta tuneļa izbeidzošajām ierīcēm. Maršrutētājs vidū uzmeklē galamērķi un pārsūta, tieši tāpat kā jebkuru citu pakešu, un tā pārnestā lietderīgā slodze tam ir necaurredzama.

Šī necaurredzamība ir apzināta. Maršrutētājam nav partnera noslēpuma, tas neveic sarunas un tam nav vajadzīga politiku datubāze. Tam vajadzīgs maršruts uz tālo galapunktu un atļauja pārsūtīt pakešu.

Abu jēdzienu sajaukšana noved pie reālām kļūdām: lūgt tranzīta ugunsmūrim “atļaut IPsec”, kad faktiskā prasība ir atļaut protokolu 50 starp konkrētām adresēm, vai gaidīt, ka starpierīce atšifrēs pārbaudei, kad tai nav atslēgas.

Kas starpierīcei tomēr jāizdara pareizi

Pārsūtīšanai ir savas prasības. Maršrutiem jāsasniedz abi ārējie galapunkti, un jebkurai politikai ceļā jāatļauj faktiskā ārējā plūsma, nevis minēts porta numurs. Noteikums, kas rakstīts pret TCP 443, jo kāds pieņēma TLS, neatbildīs protokolam 50.

Vietējais ESP ir IP protokols 50. Tas nav TCP 50 un nav UDP 50, un noteikums, kas bloķē ne-TCP plūsmu, to izmetīs. Ja dizains izmanto UDP iekapsulēšanu, redzamais transports mainās uz iekapsulēšanas portu, un politikai jāatbilst izvēlētajam dizainam.

Svarīgs ir arī pakešu izmērs. Maršruts, pa kuru iet mazs zondējums, nepierāda, ka viss iekapsulētais apmaiņa tajā ietilpst. Ceļš, kas izmet lielas paketes, var ļaut sarunām izdoties un darba slodzei neizdoties, un tas izskatās kā lietojumprogrammas problēma. Pirms vainot tuneli, pārbaudi ar īstās darba slodzes lieluma plūsmu.

Kāpēc simulators maina jautājumu

Simulators nav maršrutētājs ar īsāku funkciju sarakstu; tas ir modelis ar dokumentētu apakškopu un saviem noteikumiem par to, ko konkrētu ierīci var konfigurēt darīt. Cisco Packet Tracer BUJ skaidri norāda, ka ierīces un protokoli ir vienkāršoti modeļi.

Tā jautājums kļūst par trim jautājumiem. Vai simulētā ierīce pārsūta paketes, kas vajadzīgas scenārijam? Vai tā pati ierīce piedāvā konfigurācijas virsmu, ko pieņem stunda? Un vai pieņemtā komanda nozīmē, ka uzvedība patiešām tiek simulēta, vai tikai analizēta?

Neesoša komanda var būt modeļa ierobežojums, nevis kļūda tavā konfigurācijā. Esoša komanda var pieņemt sintaksi, neatveidojot visu ražošanas uzvedību. Pirms izdarīt secinājumus jebkurā virzienā, pārbaudi instalētās versijas ierīces palīdzību.

Sekmīgas izpildes nosacījuma rakstīšana laboratorijai

Underlay stundai sekmīgas izpildes nosacījums ir galapunktu sasniedzamība un ārējās paketes, kas šķērso starpierīci. Pierādi to ar paša simulatora skaitītājiem vai pakešu skatu un nosauc protokolu, kuru gaidi redzēt.

IPsec stundai pievieno sarunu stāvokli un vienu aizsargātu LAN-uz-LAN plūsmu. Ja simulators rāda drošības asociācijas, pieraksti tās. Ja nē, ieraksti to pārskatā, tā vietā lai norādītu, ka tunelis ir pārbaudīts.

Glabā simulatora versiju, izvēlētās ierīces un mācību mērķi kopā ar topoloģijas failu. Tieši šis ieraksts ļauj kādam citam atkārtot vingrinājumu un saprast, kuras daļas tika modelētas.

Ražošanas konfigurācijai vajadzīgi savi platformas pierādījumi. Zaļa simulēta pakete ir mācību rezultāts, nevis saderības paziņojums par aparatūru, ko ieviesīsi.