Adakah penghala antara dua rakan IPsec memerlukan IPsec?

Latihan makmal yang berkata “konfigurasikan IPsec antara dua tapak” menyembunyikan dua kerja berbeza. Kedua-dua titik akhir menamatkan terowong: mereka berunding, mengesahkan, menyulitkan dan menyahsulit. Mana-mana penghala di antaranya menghantar paket yang pengepala luarnya milik titik akhir, dan ia berbuat demikian tanpa mengetahui terowong itu wujud.

Menentukan kerja mana yang diminta daripada sesuatu peranti ialah langkah pertama dalam latihan. Kebanyakan kekeliruan dalam laporan makmal, dan sebahagian besar kekeliruan dalam gambar rajah pengeluaran, datang daripada memperlakukan “menyokong IPsec” sebagai satu sifat dan bukan dua.

Menghantar bukan menamatkan

Dalam mod terowong, pengepala IP luar dialamatkan kepada peranti yang menamatkan terowong. Penghala di tengah mencari destinasi dan menghantar, sama seperti mana-mana paket lain, dan muatan yang dibawanya legap baginya.

Kelegapan itu disengajakan. Penghala tidak menyimpan rahsia rakan, tidak menjalankan rundingan, dan tidak memerlukan pangkalan data dasar. Ia memerlukan laluan ke titik akhir jauh dan kebenaran untuk menghantar paket itu.

Mengelirukan kedua-duanya membawa kepada kesilapan sebenar: meminta tembok api transit “membenarkan IPsec” sedangkan keperluan sebenar ialah membenarkan protokol 50 antara alamat tertentu, atau mengharapkan peranti tengah menyahsulit untuk pemeriksaan sedangkan ia tiada kunci.

Apa yang masih perlu dilakukan dengan betul oleh peranti tengah

Penghantaran mempunyai keperluannya sendiri. Laluan mesti sampai ke kedua-dua titik akhir luaran, dan mana-mana dasar di sepanjang laluan mesti membenarkan trafik luar sebenar dan bukan nombor port yang diagak. Peraturan yang ditulis terhadap TCP 443 kerana seseorang menganggap TLS tidak akan sepadan dengan protokol 50.

ESP asli ialah protokol IP 50. Ia bukan TCP 50 dan bukan UDP 50, dan peraturan yang menyekat trafik bukan TCP akan menggugurkannya. Jika reka bentuk menggunakan enkapsulasi UDP, pengangkutan yang kelihatan berubah ke port enkapsulasi, dan dasar mesti sepadan dengan reka bentuk yang dipilih.

Saiz paket juga penting. Laluan yang membawa probe kecil tidak membuktikan bahawa pertukaran berenkapsulasi penuh dapat masuk. Laluan yang menggugurkan paket besar boleh membiarkan rundingan berjaya dan beban kerja gagal, yang kelihatan seperti masalah aplikasi. Uji dengan trafik sebesar beban kerja sebenar sebelum menyalahkan terowong.

Mengapa simulator mengubah soalan

Simulator bukan penghala dengan senarai ciri yang lebih pendek; ia ialah model dengan subset yang didokumenkan dan peraturannya sendiri tentang apa yang boleh dikonfigurasikan pada peranti tertentu. Soalan Lazim Packet Tracer Cisco menyatakan dengan jelas bahawa peranti dan protokol ialah model yang dipermudahkan.

Jadi soalan itu menjadi tiga soalan. Adakah peranti yang disimulasikan menghantar paket yang diperlukan oleh senario? Adakah peranti yang sama menawarkan permukaan konfigurasi yang diandaikan oleh pelajaran? Dan adakah arahan yang diterima bermaksud tingkah laku itu benar-benar disimulasikan, atau hanya dihuraikan?

Arahan yang tiada mungkin had model dan bukan kesilapan dalam konfigurasi anda. Arahan yang ada mungkin menerima sintaks tanpa menghasilkan semula setiap tingkah laku pengeluaran. Periksa bantuan peranti versi yang dipasang sebelum membuat kesimpulan ke mana-mana arah.

Menulis syarat lulus untuk makmal

Untuk pelajaran underlay, syarat lulus ialah ketercapaian titik akhir serta paket luar yang melintasi peranti tengah. Buktikan dengan pembilang simulator sendiri atau paparan paket, dan namakan protokol yang anda jangkakan untuk melihatnya.

Untuk pelajaran IPsec, tambahkan keadaan rundingan dan satu aliran LAN-ke-LAN yang dilindungi. Jika simulator mendedahkan persatuan keselamatan, rekodkannya. Jika tidak, katakan demikian dalam laporan dan bukannya memberi gambaran bahawa terowong telah disahkan.

Simpan versi simulator, peranti yang dipilih, dan objektif pembelajaran bersama fail topologi. Rekod itulah yang membolehkan orang lain menghasilkan semula latihan dan memahami bahagian mana yang dimodelkan.

Konfigurasi pengeluaran memerlukan bukti platformnya sendiri. Paket simulasi hijau ialah hasil pengajaran, bukan pernyataan keserasian tentang perkakasan yang akan anda gunakan.