Дали на рутерот меѓу два IPsec партнера му треба IPsec?

Лабораториска вежба што вели „конфигурирај IPsec меѓу две локации“ крие две различни задачи. Двете крајни точки го завршуваат тунелот: преговараат, автентицираат, шифрираат и дешифрираат. Секој рутер меѓу нив проследува пакети чиј надворешен заглавие им припаѓа на крајните точки, и тоа го прави без да знае дека тунелот постои.

Одлуката која задача се бара од уредот е првиот чекор на вежбата. Најголемиот дел од конфузијата во лабораториските извештаи, и добар дел од конфузијата во дијаграмите за производство, доаѓа од третирањето на „поддржува IPsec“ како едно својство наместо две.

Проследувањето не е завршување

Во тунелски режим, надворешниот IP заглавие е адресиран до уредите што го завршуваат тунелот. Рутерот во средината ја бара дестинацијата и проследува, исто како за секој друг пакет, а товарот што го носи му е непрозирен.

Таа непрозирност е намерна. Рутерот не ја чува тајната на партнерот, не води преговори и не му треба база на политики. Му треба пат до далечната крајна точка и дозвола да го проследи пакетот.

Мешањето на двете води до вистински грешки: барање од транзитен огнен ѕид да „дозволи IPsec“ кога вистинскиот услов е да се дозволи протоколот 50 меѓу одредени адреси, или очекување посредниот уред да дешифрира за инспекција кога нема клуч.

Што посредниот уред сепак мора да направи правилно

Проследувањето има свои барања. Патеките мора да ги достигнат двете надворешни крајни точки, и секоја политика по патот мора да го дозволи вистинскиот надворешен сообраќај, а не претпоставен број на порта. Правило напишано против TCP 443 затоа што некој претпоставил TLS нема да се совпадне со протоколот 50.

Изворниот ESP е IP протокол 50. Не е TCP 50 и не е UDP 50, а правило што блокира сообраќај што не е TCP ќе го отфрли. Ако проектот користи UDP инкапсулација, видливиот транспорт се менува на портата за инкапсулација, а политиката мора да одговара на избраниот проект.

Важна е и големината на пакетот. Патека што носи мала сонда не докажува дека целата инкапсулирана размена се вклопува. Пат што отфрла големи пакети може да дозволи преговорите да успеат, а работниот товар да не успее, што изгледа како проблем на апликацијата. Тестирајте со сообраќај со големина на вистинскиот работен товар пред да го обвините тунелот.

Зошто симулаторот го менува прашањето

Симулаторот не е рутер со пократок список на функции; тоа е модел со документиран подмножество и свои правила за тоа што даден уред може да се конфигурира да прави. Често поставуваните прашања на Cisco Packet Tracer јасно наведуваат дека уредите и протоколите се поедноставени модели.

Така прашањето станува три прашања. Дали симулираниот уред ги проследува пакетите што ѝ се потребни на сценариото? Дали истиот уред ја нуди површината за конфигурација што ја претпоставува лекцијата? И дали прифатената команда значи дека однесувањето навистина се симулира или само се анализира?

Команда што недостасува може да биде ограничување на моделот, а не грешка во вашата конфигурација. Присутна команда може да прифати синтакса без да го репродуцира целото производно однесување. Проверете ја помошта за уредот на инсталираната верзија пред да заклучите во која било насока.

Пишување услов за успех за лабораторијата

За лекција за underlay, условот за успех е достапноста на крајните точки плус надворешните пакети што минуваат низ посредниот уред. Докажете го со бројачите на самиот симулатор или со приказ на пакети и именувајте го протоколот што очекувате.

За лекција за IPsec, додајте ја состојбата на преговорите и еден заштитен тек од LAN до LAN. Ако симулаторот прикажува безбедносни асоцијации, запишете ги. Ако не, кажете го тоа во извештајот наместо да навестувате дека тунелот е верификуван.

Чувајте ја верзијата на симулаторот, избраните уреди и целта за учење заедно со датотеката за топологија. Токму тој запис му овозможува на некој друг да ја повтори вежбата и да разбере кои делови биле моделирани.

Производната конфигурација бара свои докази за платформата. Зелениот симулиран пакет е наставен резултат, а не изјава за компатибилност со хардверот што ќе го распоредите.