Are nevoie routerul dintre doi parteneri IPsec de IPsec?

Un exercițiu de laborator care spune „configurează IPsec între două locații” ascunde două sarcini diferite. Cele două capete termină tunelul: negociază, autentifică, criptează și decriptează. Orice router de la mijloc transmite mai departe pachete al căror antet exterior aparține capetelor, și face asta fără să știe că tunelul există.

A decide ce sarcină i se cere unui dispozitiv este primul pas al exercițiului. Cea mai mare parte a confuziei din rapoartele de laborator, și o bună parte din confuzia din diagramele de producție, vine din tratarea „acceptă IPsec” ca o singură proprietate în loc de două.

Transmiterea nu este terminarea

În modul tunel, antetul IP exterior este adresat dispozitivelor care termină tunelul. Un router la mijloc caută destinația și transmite mai departe, exact ca pentru orice alt pachet, iar încărcătura utilă pe care o transportă îi este opacă.

Acea opacitate este deliberată. Routerul nu deține secretul partenerului, nu rulează o negociere și nu are nevoie de o bază de date de politici. Are nevoie de o rută către capătul îndepărtat și de permisiunea de a transmite pachetul.

Confundarea celor două duce la greșeli reale: a cere unui firewall de tranzit să „permită IPsec” când cerința reală este să permită protocolul 50 între adrese anume, sau a te aștepta ca un dispozitiv intermediar să decripteze pentru inspecție când nu are nicio cheie.

Ce trebuie totuși să facă bine dispozitivul intermediar

Transmiterea are cerințele ei. Rutele trebuie să ajungă la ambele capete externe, iar orice politică de-a lungul căii trebuie să permită traficul exterior real, nu un număr de port ghicit. O regulă scrisă împotriva TCP 443 pentru că cineva a presupus TLS nu se va potrivi protocolului 50.

ESP nativ este protocolul IP 50. Nu este TCP 50 și nu este UDP 50, iar o regulă care blochează traficul non-TCP îl va elimina. Dacă proiectul folosește encapsulare UDP, transportul vizibil trece pe portul de encapsulare, iar politica trebuie să corespundă proiectului ales.

Contează și dimensiunea pachetelor. O rută care transportă o sondă mică nu dovedește că schimbul encapsulat complet încape. O cale care aruncă pachete mari poate lăsa negocierea să reușească și sarcina de lucru să eșueze, ceea ce arată ca o problemă a aplicației. Testează cu trafic de dimensiunea sarcinii reale înainte de a da vina pe tunel.

De ce simulatorul schimbă întrebarea

Un simulator nu este un router cu o listă mai scurtă de funcții; este un model cu un subset documentat și cu propriile reguli despre ce poate fi configurat un anumit dispozitiv să facă. Întrebările frecvente Packet Tracer de la Cisco spun explicit că dispozitivele și protocoalele sunt modele simplificate.

Așa că întrebarea devine trei întrebări. Dispozitivul simulat transmite pachetele de care are nevoie scenariul? Același dispozitiv oferă suprafața de configurare pe care o presupune lecția? Și comanda acceptată înseamnă că comportamentul este cu adevărat simulat sau doar analizat?

O comandă lipsă poate fi o limită a modelului, nu o greșeală în configurația ta. O comandă prezentă poate accepta sintaxa fără a reproduce fiecare comportament de producție. Verifică ajutorul dispozitivului din versiunea instalată înainte de a trage o concluzie.

Scrierea unei condiții de promovare pentru laborator

Pentru o lecție de underlay, condiția de promovare este accesibilitatea capetelor plus pachetele exterioare care traversează dispozitivul intermediar. Demonstreaz-o cu contoarele simulatorului sau cu o vedere a pachetelor și numește protocolul pe care te aștepți să îl vezi.

Pentru o lecție de IPsec, adaugă starea negocierii și un flux protejat de la LAN la LAN. Dacă simulatorul expune asocieri de securitate, înregistrează-le. Dacă nu, spune asta în raport, în loc să sugerezi că tunelul a fost verificat.

Păstrează versiunea simulatorului, dispozitivele alese și obiectivul de învățare împreună cu fișierul de topologie. Acea înregistrare este cea care permite altcuiva să reproducă exercițiul și să înțeleagă ce părți au fost modelate.

Configurația de producție are nevoie de propriile dovezi de platformă. Un pachet simulat verde este un rezultat didactic, nu o declarație de compatibilitate despre hardware-ul pe care îl vei implementa.