Нужен ли IPsec маршрутизатору между двумя партнёрами IPsec?

Лабораторное упражнение, которое говорит «настройте IPsec между двумя площадками», скрывает две разные задачи. Две оконечные точки завершают туннель: они договариваются, аутентифицируются, шифруют и расшифровывают. Любой маршрутизатор между ними пересылает пакеты, внешний заголовок которых принадлежит оконечным точкам, и делает это, не зная, что туннель существует.

Решить, какая задача ставится перед устройством, — первый шаг упражнения. Большая часть путаницы в лабораторных отчётах и значительная доля путаницы в производственных схемах происходит от того, что «поддерживает IPsec» трактуется как одно свойство вместо двух.

Пересылка — это не завершение

В туннельном режиме внешний IP-заголовок адресован устройствам, завершающим туннель. Маршрутизатор в середине ищет пункт назначения и пересылает, точно как для любого другого пакета, а полезная нагрузка, которую он несёт, для него непрозрачна.

Эта непрозрачность намеренна. Маршрутизатор не хранит секрет партнёра, не ведёт переговоры и не нуждается в базе политик. Ему нужен маршрут к дальнему концу и разрешение переслать пакет.

Смешение двух вещей ведёт к реальным ошибкам: просить транзитный межсетевой экран «разрешить IPsec», когда фактическое требование — разрешить протокол 50 между конкретными адресами, или ожидать, что промежуточное устройство расшифрует для проверки, когда у него нет ключа.

Что промежуточное устройство всё же должно сделать правильно

Пересылка имеет свои требования. Маршруты должны достигать обеих внешних оконечных точек, и любая политика на пути должна разрешать реальный внешний трафик, а не предполагаемый номер порта. Правило, написанное против TCP 443, потому что кто-то предположил TLS, не совпадёт с протоколом 50.

Собственный ESP — это IP-протокол 50. Это не TCP 50 и не UDP 50, и правило, блокирующее не-TCP трафик, отбросит его. Если проект использует инкапсуляцию UDP, видимый транспорт меняется на порт инкапсуляции, и политика должна соответствовать выбранному проекту.

Важен и размер пакета. Маршрут, несущий небольшую пробу, не доказывает, что весь инкапсулированный обмен помещается. Путь, отбрасывающий большие пакеты, может позволить переговорам пройти, а рабочей нагрузке — нет, что выглядит как проблема приложения. Тестируйте трафиком размером с реальную рабочую нагрузку, прежде чем винить туннель.

Почему симулятор меняет вопрос

Симулятор — не маршрутизатор с более коротким списком функций; это модель с документированным подмножеством и собственными правилами о том, что данное устройство можно настроить делать. FAQ Cisco Packet Tracer прямо указывает, что устройства и протоколы — упрощённые модели.

Так вопрос становится тремя вопросами. Пересылает ли симулируемое устройство пакеты, которые нужны сценарию? Предлагает ли то же устройство поверхность настройки, которую предполагает урок? И означает ли принятая команда, что поведение действительно моделируется или только разбирается синтаксически?

Отсутствующая команда может быть ограничением модели, а не ошибкой в вашей конфигурации. Присутствующая команда может принять синтаксис, не воспроизводя всё производственное поведение. Проверьте справку устройства установленной версии, прежде чем делать вывод в любую сторону.

Как написать условие успеха для лаборатории

Для урока по underlay условие успеха — достижимость оконечных точек плюс внешние пакеты, проходящие через промежуточное устройство. Докажите это счётчиками самого симулятора или просмотром пакетов и назовите протокол, который ожидаете увидеть.

Для урока по IPsec добавьте состояние переговоров и один защищённый поток от LAN к LAN. Если симулятор показывает ассоциации безопасности, запишите их. Если нет, скажите об этом в отчёте, вместо того чтобы подразумевать, что туннель проверен.

Храните версию симулятора, выбранные устройства и учебную цель вместе с файлом топологии. Именно эта запись позволяет кому-то другому повторить упражнение и понять, какие части были смоделированы.

Производственная конфигурация требует собственных доказательств платформы. Зелёный смоделированный пакет — это учебный результат, а не заявление о совместимости с оборудованием, которое вы будете развёртывать.