Potrebuje router medzi dvoma partnermi IPsec protokol IPsec?

Laboratórne cvičenie, ktoré hovorí „nakonfigurujte IPsec medzi dvoma lokalitami“, skrýva dve rôzne úlohy. Oba koncové body ukončujú tunel: vyjednávajú, overujú, šifrujú a dešifrujú. Každý router medzi nimi preposiela pakety, ktorých vonkajšia hlavička patrí koncovým bodom, a robí to bez toho, aby vedel, že tunel existuje.

Rozhodnúť, ktorá úloha sa od zariadenia žiada, je prvým krokom cvičenia. Väčšina zmätku v laboratórnych záznamoch a značná časť zmätku v produkčných diagramoch pramení z toho, že „podporuje IPsec“ sa berie ako jedna vlastnosť namiesto dvoch.

Preposielanie nie je ukončovanie

V tunelovom režime je vonkajšia IP hlavička adresovaná ukončujúcim zariadeniam. Router v strede vyhľadá cieľ a prepošle, presne ako pri každom inom pakete, a užitočné zaťaženie, ktoré nesie, je preňho nepriehľadné.

Tá nepriehľadnosť je zámerná. Router nedrží tajomstvo partnera, nevedie vyjednávanie a nepotrebuje databázu pravidiel. Potrebuje trasu k vzdialenému koncovému bodu a povolenie paket preposlať.

Zámena oboch vecí vedie k skutočným chybám: žiadať tranzitný firewall, aby „povolil IPsec“, keď skutočnou požiadavkou je povoliť protokol 50 medzi konkrétnymi adresami, alebo očakávať, že prostredné zariadenie dešifruje na účely kontroly, keď nemá žiadny kľúč.

Čo musí prostredné zariadenie napriek tomu zvládnuť

Preposielanie má svoje vlastné požiadavky. Trasy musia dosiahnuť na oba externé koncové body, a každé pravidlo na ceste musí povoliť skutočnú vonkajšiu prevádzku, nie odhadnuté číslo portu. Pravidlo napísané proti TCP 443, pretože niekto predpokladal TLS, nebude zodpovedať protokolu 50.

Natívny ESP je IP protokol 50. Nie je to TCP 50 ani UDP 50 a pravidlo, ktoré blokuje inú ako TCP prevádzku, ho zahodí. Ak návrh používa zapuzdrenie UDP, viditeľná preprava sa zmení na port zapuzdrenia a pravidlo musí zodpovedať zvolenému návrhu.

Záleží aj na veľkosti paketov. Trasa, ktorá prenesie malú sondu, nedokazuje, že sa celá zapuzdrená výmena zmestí. Cesta, ktorá zahadzuje veľké pakety, môže nechať vyjednávanie uspieť a záťaž zlyhať, čo vyzerá ako problém aplikácie. Testuj prevádzkou o veľkosti skutočnej záťaže, kým obviníš tunel.

Prečo simulátor mení otázku

Simulátor nie je router s kratším zoznamom funkcií; je to model s zdokumentovanou podmnožinou a vlastnými pravidlami o tom, čo možno dané zariadenie nakonfigurovať. FAQ k Cisco Packet Tracer výslovne uvádza, že zariadenia a protokoly sú zjednodušené modely.

Otázka sa tak mení na tri otázky. Preposiela simulované zariadenie pakety, ktoré scenár potrebuje? Ponúka to isté zariadenie konfiguračné rozhranie, ktoré lekcia predpokladá? A znamená prijatý príkaz, že správanie sa skutočne simuluje, alebo len syntakticky prijíma?

Chýbajúci príkaz môže byť limit modelu, nie chyba vo vašej konfigurácii. Prítomný príkaz môže prijať syntax bez reprodukcie všetkého produkčného správania. Predtým, než urobíte záver, pozrite si pomocníka zariadenia v nainštalovanej verzii.

Ako napísať podmienku splnenia pre laboratórium

Pri lekcii o underlay je podmienkou splnenia dosiahnuteľnosť koncových bodov plus vonkajšie pakety prechádzajúce prostredným zariadením. Dokážte to počítadlami samotného simulátora alebo zobrazením paketov a pomenujte protokol, ktorý očakávate.

Pri lekcii o IPsec pridajte stav vyjednávania a jeden chránený tok LAN-to-LAN. Ak simulátor zobrazuje bezpečnostné asociácie, zaznamenajte ich. Ak nie, napíšte to do správy, namiesto toho, aby ste naznačovali, že tunel bol overený.

Uchovajte verziu simulátora, zvolené zariadenia a cieľ učenia spolu so súborom topológie. Práve tento záznam umožňuje niekomu inému cvičenie zopakovať a pochopiť, ktoré časti boli modelované.

Produkčná konfigurácia potrebuje vlastné dôkazy o platforme. Zelený simulovaný paket je vyučovací výsledok, nie vyhlásenie o kompatibilite s hardvérom, ktorý nasadíte.