O router entre dois pares IPsec precisa de IPsec?

Um exercício de laboratório que diz «configura IPsec entre dois sites» esconde dois trabalhos diferentes. As duas extremidades terminam o túnel: negoceiam, autenticam, cifram e desencriptam. Qualquer router pelo meio encaminha pacotes cujo cabeçalho externo pertence às extremidades, e fá-lo sem saber que o túnel existe.

Decidir que trabalho é pedido a um dispositivo é o primeiro passo do exercício. A maior parte da confusão nos relatórios de laboratório, e boa parte da confusão nos diagramas de produção, vem de tratar «suporta IPsec» como uma só propriedade em vez de duas.

Encaminhar não é terminar

No modo túnel, o cabeçalho IP externo é endereçado aos dispositivos que terminam o túnel. Um router no meio consulta o destino e encaminha, exatamente como faria com qualquer outro pacote, e a carga útil que transporta é-lhe opaca.

Essa opacidade é deliberada. O router não guarda o segredo do par, não executa uma negociação e não precisa de uma base de dados de políticas. Precisa de uma rota para a extremidade remota e de permissão para encaminhar o pacote.

Confundir as duas coisas leva a erros reais: pedir a uma firewall de trânsito que «permita IPsec» quando o requisito real é permitir o protocolo 50 entre endereços específicos, ou esperar que um dispositivo intermédio desencripte para inspeção quando não tem qualquer chave.

O que o dispositivo intermédio tem de acertar mesmo assim

O encaminhamento tem requisitos próprios. As rotas têm de alcançar as duas extremidades externas, e qualquer política ao longo do caminho tem de permitir o tráfego externo real em vez de um número de porta suposto. Uma regra escrita contra TCP 443 porque alguém assumiu TLS não corresponderá ao protocolo 50.

O ESP nativo é o protocolo IP 50. Não é TCP 50 nem UDP 50, e uma regra que bloqueie tráfego que não seja TCP irá descartá-lo. Se o desenho usar encapsulamento UDP, o transporte visível passa para a porta de encapsulamento, e a política tem de corresponder ao desenho escolhido.

O tamanho dos pacotes também importa. Uma rota que transporta uma sonda pequena não prova que o intercâmbio encapsulado completo caiba. Um caminho que descarta pacotes grandes pode deixar a negociação ter sucesso e a carga de trabalho falhar, o que parece um problema da aplicação. Testa com tráfego do tamanho da carga real antes de culpar o túnel.

Porque é que o simulador muda a pergunta

Um simulador não é um router com uma lista de funcionalidades mais curta; é um modelo com um subconjunto documentado e as suas próprias regras sobre o que um determinado dispositivo pode ser configurado para fazer. As perguntas frequentes do Packet Tracer da Cisco dizem claramente que os dispositivos e protocolos são modelos simplificados.

Assim, a pergunta torna-se três perguntas. O dispositivo simulado encaminha os pacotes de que o cenário precisa? O mesmo dispositivo oferece a superfície de configuração que a lição pressupõe? E o comando aceite significa que o comportamento é realmente simulado, ou apenas analisado?

Um comando ausente pode ser um limite do modelo e não um erro na tua configuração. Um comando presente pode aceitar a sintaxe sem reproduzir todos os comportamentos de produção. Consulta a ajuda do dispositivo da versão instalada antes de concluir em qualquer sentido.

Escrever uma condição de aprovação para o laboratório

Para uma lição de underlay, a condição de aprovação é a acessibilidade das extremidades mais os pacotes externos que atravessam o dispositivo intermédio. Prova-o com os contadores do próprio simulador ou uma vista de pacotes, e nomeia o protocolo que esperas ver.

Para uma lição de IPsec, acrescenta o estado de negociação e um fluxo protegido de LAN para LAN. Se o simulador expuser associações de segurança, registra-as. Se não o fizer, diz isso no relatório em vez de sugerir que o túnel foi verificado.

Guarda a versão do simulador, os dispositivos escolhidos e o objetivo de aprendizagem junto do ficheiro de topologia. É esse registo que permite a outra pessoa reproduzir o exercício e compreender que partes foram modeladas.

A configuração de produção exige provas próprias de plataforma. Um pacote simulado verde é um resultado didático, não uma declaração de compatibilidade sobre o hardware que vais implementar.