Ali router med dvema partnerjema IPsec potrebuje IPsec?

Laboratorijska vaja, ki pravi „konfiguriraj IPsec med dvema lokacijama“, skriva dve različni nalogi. Obe končni točki zaključujeta tunel: pogajata se, overjata, šifrirata in dešifrirata. Vsak vmesni usmerjevalnik posreduje pakete, katerih zunanja glava pripada končnima točkama, in to počne, ne da bi vedel, da tunel obstaja.

Odločitev, katera naloga se zahteva od naprave, je prvi korak vaje. Večina zmede v laboratorijskih poročilih in precejšen del zmede v produkcijskih diagramih izhaja iz tega, da se „podpira IPsec“ obravnava kot ena lastnost namesto dveh.

Posredovanje ni zaključevanje

V načinu tunela je zunanja glava IP naslovljena na naprave, ki zaključujejo tunel. Usmerjevalnik v sredini poišče cilj in posreduje, natanko tako kot pri vsakem drugem paketu, in koristni tovor, ki ga prenaša, mu je neprozoren.

Ta neprozornost je namerna. Usmerjevalnik ne hrani skrivnosti partnerja, ne izvaja pogajanja in ne potrebuje zbirke pravil. Potrebuje pot do oddaljene končne točke in dovoljenje za posredovanje paketa.

Zamenjava obojega vodi v resnične napake: zahtevati od tranzitnega požarnega zidu, da „dovoli IPsec“, ko je dejanska zahteva dovoliti protokol 50 med določenimi naslovi, ali pričakovati, da bo vmesna naprava dešifrirala za pregled, ko nima ključa.

Kaj mora vmesna naprava vseeno narediti prav

Posredovanje ima svoje zahteve. Poti morajo doseči obe zunanji končni točki, in vsaka politika na poti mora dovoliti dejanski zunanji promet, ne pa ugibane številke vrat. Pravilo, napisano proti TCP 443, ker je nekdo predpostavil TLS, se ne bo ujemalo s protokolom 50.

Izvorni ESP je protokol IP 50. Ni TCP 50 in ni UDP 50, in pravilo, ki blokira promet, ki ni TCP, ga bo zavrglo. Če zasnova uporablja enkapsulacijo UDP, se vidni transport spremeni na vrata enkapsulacije, in politika se mora ujemati z izbrano zasnovo.

Pomembna je tudi velikost paketov. Pot, ki prenaša majhno sondo, ne dokazuje, da se celotna enkapsulirana izmenjava prilega. Pot, ki zavrača velike pakete, lahko pusti pogajanjem, da uspejo, obremenitvi pa, da spodleti, kar je videti kot težava aplikacije. Testiraj s prometom velikosti resnične obremenitve, preden kriviš tunel.

Zakaj simulator spremeni vprašanje

Simulator ni usmerjevalnik s krajšim seznamom funkcij; je model z dokumentirano podmnožico in lastnimi pravili o tem, kaj je mogoče konfigurirati pri določeni napravi. Pogosta vprašanja Cisco Packet Tracer izrecno navajajo, da so naprave in protokoli poenostavljeni modeli.

Tako vprašanje postane tri vprašanja. Ali simulirana naprava posreduje pakete, ki jih scenarij potrebuje? Ali ista naprava ponuja konfiguracijsko površino, ki jo lekcija predpostavlja? In ali sprejeti ukaz pomeni, da je vedenje res simulirano, ali le razčlenjeno?

Manjkajoči ukaz je lahko omejitev modela, ne napaka v vaši konfiguraciji. Prisotni ukaz lahko sprejme sintakso, ne da bi poustvaril vse produkcijsko vedenje. Preden sklepaš v katero koli smer, preveri pomoč naprave v nameščeni različici.

Pisanje pogoja za uspeh pri laboratoriju

Pri lekciji o underlayu je pogoj za uspeh dosegljivost končnih točk in zunanji paketi, ki prečkajo vmesno napravo. Dokaži to s števci simulatorja ali pogledom paketov in imenuj protokol, ki ga pričakuješ.

Pri lekciji o IPsec dodaj stanje pogajanja in en zaščiten tok od LAN do LAN. Če simulator prikazuje varnostne asociacije, jih zabeleži. Če ne, to povej v poročilu, namesto da bi namigoval, da je bil tunel preverjen.

Različico simulatorja, izbrane naprave in učni cilj hrani skupaj z datoteko topologije. Prav ta zapis omogoča nekomu drugemu, da vajo ponovi in razume, kateri deli so bili modelirani.

Produkcijska konfiguracija potrebuje svoje dokaze o platformi. Zelen simuliran paket je učni rezultat, ne izjava o združljivosti s strojno opremo, ki jo boš uvedel.