Czy router między dwoma partnerami IPsec potrzebuje IPsec?

Ćwiczenie laboratoryjne, które mówi „skonfiguruj IPsec między dwiema lokalizacjami”, ukrywa dwa różne zadania. Oba punkty końcowe kończą tunel: negocjują, uwierzytelniają, szyfrują i odszyfrowują. Każdy router pomiędzy przekazuje pakiety, których zewnętrzny nagłówek należy do punktów końcowych, i robi to nie wiedząc, że tunel istnieje.

Ustalenie, jakie zadanie jest zlecane urządzeniu, to pierwszy krok ćwiczenia. Większość zamieszania w raportach laboratoryjnych i spora część zamieszania na diagramach produkcyjnych bierze się z traktowania „obsługuje IPsec” jako jednej właściwości zamiast dwóch.

Przekazywanie to nie terminowanie

W trybie tunelowym zewnętrzny nagłówek IP jest adresowany do urządzeń kończących tunel. Router w środku sprawdza cel i przekazuje, dokładnie tak jak w przypadku każdego innego pakietu, a przenoszony ładunek jest dla niego nieprzejrzysty.

Ta nieprzejrzystość jest zamierzona. Router nie przechowuje tajemnicy partnera, nie prowadzi negocjacji i nie potrzebuje bazy polityk. Potrzebuje trasy do odległego punktu końcowego i pozwolenia na przekazanie pakietu.

Mylenie obu rzeczy prowadzi do rzeczywistych błędów: proszenia zapory tranzytowej o „zezwolenie na IPsec”, gdy rzeczywistym wymaganiem jest zezwolenie na protokół 50 między konkretnymi adresami, albo oczekiwania, że urządzenie pośrednie odszyfruje na potrzeby inspekcji, gdy nie ma żadnego klucza.

Co urządzenie pośrednie musi mimo to zrobić dobrze

Przekazywanie ma własne wymagania. Trasy muszą docierać do obu zewnętrznych punktów końcowych, a każda polityka na ścieżce musi zezwalać na rzeczywisty ruch zewnętrzny, a nie na zgadywany numer portu. Reguła napisana wobec TCP 443, bo ktoś założył TLS, nie będzie pasować do protokołu 50.

Rodzimy ESP to protokół IP 50. To nie TCP 50 i nie UDP 50, a reguła blokująca ruch inny niż TCP go odrzuci. Jeśli projekt używa enkapsulacji UDP, widoczny transport zmienia się na port enkapsulacji, a polityka musi pasować do wybranego projektu.

Znaczenie ma też rozmiar pakietu. Trasa, która przenosi małą sondę, nie dowodzi, że cała enkapsulowana wymiana się zmieści. Ścieżka, która odrzuca duże pakiety, może pozwolić negocjacji zakończyć się sukcesem, a obciążeniu ponieść porażkę, co wygląda jak problem aplikacji. Testuj ruchem o rozmiarze rzeczywistego obciążenia, zanim obwinisz tunel.

Dlaczego symulator zmienia pytanie

Symulator nie jest routerem z krótszą listą funkcji; to model z udokumentowanym podzbiorem i własnymi regułami dotyczącymi tego, co dane urządzenie można skonfigurować do robienia. FAQ Packet Tracera firmy Cisco mówi wprost, że urządzenia i protokoły to uproszczone modele.

Pytanie staje się więc trzema pytaniami. Czy symulowane urządzenie przekazuje pakiety, których potrzebuje scenariusz? Czy to samo urządzenie oferuje powierzchnię konfiguracji, którą zakłada lekcja? I czy przyjęte polecenie oznacza, że zachowanie jest naprawdę symulowane, czy tylko analizowane?

Brakujące polecenie może być ograniczeniem modelu, a nie błędem w konfiguracji. Obecne polecenie może przyjąć składnię bez odtwarzania całego zachowania produkcyjnego. Sprawdź pomoc urządzenia dla zainstalowanej wersji, zanim wyciągniesz wniosek w którąkolwiek stronę.

Pisanie warunku zaliczenia dla laboratorium

W lekcji o underlay warunkiem zaliczenia jest osiągalność punktów końcowych oraz zewnętrzne pakiety przechodzące przez urządzenie pośrednie. Udowodnij to licznikami samego symulatora lub widokiem pakietów i nazwij protokół, którego oczekujesz.

W lekcji o IPsec dodaj stan negocjacji i jeden chroniony przepływ LAN-do-LAN. Jeśli symulator pokazuje asocjacje bezpieczeństwa, zapisz je. Jeśli nie, napisz to w raporcie, zamiast sugerować, że tunel został zweryfikowany.

Zachowaj wersję symulatora, wybrane urządzenia i cel nauczania razem z plikiem topologii. Właśnie ten zapis pozwala komuś innemu odtworzyć ćwiczenie i zrozumieć, które części były modelowane.

Konfiguracja produkcyjna wymaga własnych dowodów platformowych. Zielony symulowany pakiet to wynik dydaktyczny, a nie oświadczenie o zgodności ze sprzętem, który wdrożysz.