A i duhet IPsec routerit midis dy partnerëve IPsec?

Një ushtrim laboratori që thotë «konfiguro IPsec midis dy vendeve» fsheh dy punë të ndryshme. Dy skajet përfundojnë tunelin: negociojnë, vërtetojnë, kriptojnë dhe deshifrojnë. Çdo router në mes përçon paketa, koka e jashtme e të cilave u përket skajeve, dhe e bën këtë pa e ditur se tuneli ekziston.

Të vendosësh se çfarë pune i kërkohet një pajisjeje është hapi i parë i ushtrimit. Pjesa më e madhe e konfuzionit në raportet e laboratorit, dhe një pjesë e mirë e konfuzionit në diagramet e prodhimit, vjen nga trajtimi i «mbështet IPsec» si një veti e vetme në vend të dyjave.

Përçimi nuk është përfundim

Në modalitetin tunel, koka e jashtme IP adresohet te pajisjet që përfundojnë tunelin. Një router në mes kërkon destinacionin dhe përçon, saktësisht si për çdo paketë tjetër, dhe ngarkesa që mbart është e errët për të.

Kjo errësi është e qëllimshme. Routeri nuk mban sekretin e partnerit, nuk zhvillon një negociatë dhe nuk ka nevojë për bazë të dhënash politikash. I duhet një rrugë drejt skajit të largët dhe leja për të përçuar paketën.

Ngatërrimi i të dyjave çon në gabime reale: t’i kërkosh një firewalle tranziti të «lejojë IPsec» kur kërkesa e vërtetë është të lejohet protokolli 50 midis adresave të caktuara, ose të presësh që një pajisje e ndërmjetme të deshifrojë për inspektim kur nuk ka asnjë çelës.

Çfarë duhet të bëjë gjithsesi saktë pajisja e ndërmjetme

Përçimi ka kërkesat e veta. Rrugët duhet të arrijnë të dy skajet e jashtme, dhe çdo politikë përgjatë rrugës duhet të lejojë trafikun e jashtëm real e jo një numër porti të hamendësuar. Një rregull i shkruar kundër TCP 443 sepse dikush supozoi TLS nuk do të përputhet me protokollin 50.

ESP amtare është protokolli IP 50. Nuk është TCP 50 dhe nuk është UDP 50, dhe një rregull që bllokon trafikun që nuk është TCP do ta hedhë poshtë. Nëse dizajni përdor inkapsulim UDP, transporti i dukshëm kalon në portin e inkapsulimit, dhe politika duhet të përputhet me dizajnin e zgjedhur.

Edhe madhësia e paketës ka rëndësi. Një rrugë që mbart një sondë të vogël nuk provon se shkëmbimi i plotë i inkapsuluar përshtatet. Një rrugë që hedh poshtë paketat e mëdha mund të lejojë negociatën të ketë sukses dhe ngarkesën e punës të dështojë, gjë që duket si problem aplikacioni. Testo me trafik të madhësisë së ngarkesës reale përpara se të fajësosh tunelin.

Pse simulatori e ndryshon pyetjen

Një simulator nuk është router me listë më të shkurtër funksionesh; është model me nënbashkësi të dokumentuar dhe rregullat e veta për atë që një pajisje e caktuar mund të konfigurohet të bëjë. Pyetjet e shpeshta të Packet Tracer nga Cisco thonë qartë se pajisjet dhe protokollet janë modele të thjeshtuara.

Kështu pyetja bëhet tri pyetje. A i përçon pajisja e simuluar paketat që i nevojiten skenarit? A ofron e njëjta pajisje sipërfaqen e konfigurimit që supozon mësimi? Dhe a do të thotë komanda e pranuar se sjellja simulohet vërtet, apo vetëm analizohet?

Një komandë që mungon mund të jetë kufizim i modelit dhe jo gabim në konfigurimin tuaj. Një komandë e pranishme mund të pranojë sintaksën pa riprodhuar çdo sjellje prodhimi. Kontrollo ndihmën e pajisjes së versionit të instaluar përpara se të konkludosh në një drejtim ose tjetrin.

Si të shkruhet një kusht kalimi për laboratorin

Për një mësim underlay, kushti i kalimit është arritshmëria e skajeve plus paketat e jashtme që kalojnë pajisjen e ndërmjetme. Provoje me numëruesit e vetë simulatorit ose me një pamje paketash, dhe emërto protokollin që pret të shohësh.

Për një mësim IPsec, shto gjendjen e negociatës dhe një rrjedhë të mbrojtur nga LAN në LAN. Nëse simulatori shfaq shoqata sigurie, regjistroji. Nëse jo, thuaje në raport në vend që të lësh të kuptohet se tuneli u verifikua.

Mbaj versionin e simulatorit, pajisjet e zgjedhura dhe objektivin e mësimit bashkë me skedarin e topologjisë. Është pikërisht ai regjistrim ai që lejon dikë tjetër të riprodhojë ushtrimin dhe të kuptojë cilat pjesë u modeluan.

Konfigurimi i prodhimit kërkon provat e veta të platformës. Një paketë e simuluar e gjelbër është rezultat mësimor, jo deklaratë përputhshmërie për harduerin që do të vendosësh.