दोन IPsec सहकाऱ्यांमधील राउटरला IPsec आवश्यक आहे का?

प्रयोगशाळेतील सराव जो म्हणतो “दोन साइट्समध्ये IPsec संरचित करा” दोन वेगवेगळी कामे लपवतो। दोन्ही टोके टनेल संपवतात: ते वाटाघाटी करतात, प्रमाणित करतात, एन्क्रिप्ट आणि डिक्रिप्ट करतात। मधला कोणताही राउटर अशी पॅकेट पुढे पाठवतो ज्यांचे बाह्य हेडर टोकांचे असते, आणि हे टनेल अस्तित्वात असल्याच्या माहितीशिवाय करतो।

कोणत्या उपकरणाकडून कोणते काम मागितले जाते हे ठरवणे ही सरावाची पहिली पायरी आहे। प्रयोगशाळेच्या अहवालांतील बहुतेक गोंधळ, आणि उत्पादन आकृत्यांतील बराचसा गोंधळ, “IPsec ला आधार देते” हे दोनऐवजी एक गुण मानल्यामुळे येतो।

अग्रेषण म्हणजे समाप्ती नाही

टनेल मोडमध्ये बाह्य IP हेडर टनेल संपवणाऱ्या उपकरणांना उद्देशून असतो। मधला राउटर गंतव्य शोधून पुढे पाठवतो, इतर कोणत्याही पॅकेटप्रमाणेच, आणि तो जो पेलोड वाहून नेतो तो त्याच्यासाठी अपारदर्शक असतो।

ही अपारदर्शकता हेतुपुरस्सर आहे। राउटरकडे सहकाऱ्याचे रहस्य नसते, तो वाटाघाटी करत नाही आणि त्याला धोरण डेटाबेसची गरज नसते। त्याला दूरच्या टोकापर्यंत मार्ग आणि पॅकेट पुढे पाठवण्याची परवानगी लागते।

दोन्हींचा गोंधळ वास्तविक चुका करतो: ट्रांझिट फायरवॉलला “IPsec परवानगी द्या” असे म्हणणे, जेव्हा खरी गरज विशिष्ट पत्त्यांदरम्यान प्रोटोकॉल 50 ला परवानगी देणे आहे, किंवा मधल्या उपकरणाने तपासणीसाठी डिक्रिप्ट करेल अशी अपेक्षा करणे, जेव्हा त्याच्याकडे किल्ली नाही।

मधल्या उपकरणाने तरीही काय बरोबर करायला हवे

अग्रेषणाला स्वतःच्या गरजा असतात। मार्गांनी दोन्ही बाह्य टोकांपर्यंत पोहोचले पाहिजे, आणि मार्गावरील प्रत्येक धोरणाने अंदाजित पोर्ट क्रमांकाऐवजी वास्तविक बाह्य रहदारीला परवानगी दिली पाहिजे। TCP 443 विरुद्ध लिहिलेला नियम, कारण कोणीतरी TLS गृहीत धरले, प्रोटोकॉल 50 शी जुळणार नाही।

मूळ ESP हा IP प्रोटोकॉल 50 आहे। तो TCP 50 नाही आणि UDP 50 नाही, आणि TCP-इतर रहदारी अडवणारा नियम त्याला टाकून देईल। जर रचना UDP एन्कॅप्स्युलेशन वापरत असेल, तर दिसणारे वाहतूक एन्कॅप्स्युलेशन पोर्टवर जाते, आणि धोरणाने निवडलेल्या रचनेशी जुळले पाहिजे।

पॅकेटचा आकारही महत्त्वाचा आहे। लहान तपासणी नेणारा मार्ग संपूर्ण एन्कॅप्स्युलेटेड देवघेव बसते हे सिद्ध करत नाही। मोठे पॅकेट टाकून देणारा मार्ग वाटाघाटी यशस्वी आणि कार्यभार अयशस्वी ठेवू शकतो, जे अनुप्रयोगाची समस्या वाटते। टनेलला दोष देण्यापूर्वी वास्तविक कार्यभाराच्या आकाराच्या रहदारीने तपासा।

सिम्युलेटर प्रश्न का बदलतो

सिम्युलेटर लहान वैशिष्ट्य-यादी असलेला राउटर नाही; तो एक मॉडेल आहे ज्याचा दस्तऐवजीकृत उपसंच आणि एखाद्या उपकरणाला काय करण्यासाठी संरचित करता येईल याबद्दल स्वतःचे नियम आहेत। Cisco च्या Packet Tracer सामान्य प्रश्न स्पष्ट सांगतात की उपकरणे आणि प्रोटोकॉल सरलीकृत मॉडेल आहेत।

म्हणून प्रश्न तीन प्रश्न होतो। अनुकरण केलेले उपकरण परिस्थितीला आवश्यक पॅकेट पुढे पाठवते का? तेच उपकरण धड्याने गृहीत धरलेली संरचना-पृष्ठभाग देते का? आणि स्वीकारलेल्या आदेशाचा अर्थ वर्तन खरोखर अनुकरण केले जाते, की केवळ विश्लेषण?

अनुपस्थित आदेश हा तुमच्या संरचनेतील चूक नसून मॉडेलची मर्यादा असू शकतो। उपस्थित आदेश प्रत्येक उत्पादन वर्तन न पुनरावृत्ती करता वाक्यरचना स्वीकारू शकतो। कोणत्याही दिशेने निष्कर्ष काढण्यापूर्वी स्थापित आवृत्तीची उपकरण मदत पाहा।

प्रयोगशाळेसाठी उत्तीर्णता अट लिहिणे

अंडरले धड्यासाठी उत्तीर्णता अट म्हणजे टोकांची उपलब्धता आणि मधल्या उपकरणातून जाणारे बाह्य पॅकेट। हे स्वतः सिम्युलेटरच्या मोजकांनी किंवा पॅकेट दृश्याने सिद्ध करा, आणि तुम्ही पाहण्याची अपेक्षा असलेल्या प्रोटोकॉलचे नाव घ्या।

IPsec धड्यासाठी वाटाघाटीची स्थिती आणि LAN ते LAN असा एक संरक्षित प्रवाह जोडा। जर सिम्युलेटर सुरक्षा संलग्नता दाखवत असेल तर त्या नोंदवा। न दाखवल्यास, टनेल सत्यापित झाला असे सुचवण्याऐवजी अहवालात तसे सांगा।

सिम्युलेटरची आवृत्ती, निवडलेली उपकरणे आणि शिकण्याचे उद्दिष्ट टोपोलॉजी फाइलसोबत ठेवा। हाच नोंद अभ्यास दुसऱ्याला पुन्हा करण्यास आणि कोणते भाग मॉडेल केले गेले हे समजण्यास मदत करतो।

उत्पादन संरचनेला स्वतःचे प्लॅटफॉर्म पुरावे लागतात। हिरवे अनुकरण केलेले पॅकेट हा शिक्षणाचा निकाल आहे, तुम्ही उपयोजित करणार असलेल्या हार्डवेअरबद्दल सुसंगततेचे विधान नाही।