เราเตอร์ระหว่างคู่ IPsec สองฝ่ายต้องมี IPsec หรือไม่?

แบบฝึกหัดในห้องแล็บที่บอกว่า “กำหนดค่า IPsec ระหว่างสองไซต์” ซ่อนงานสองอย่างที่ต่างกัน ปลายทางทั้งสองฝ่ายเป็นผู้สิ้นสุดอุโมงค์ พวกมันเจรจา ตรวจสอบสิทธิ์ เข้ารหัส และถอดรหัส เราเตอร์ใดก็ตามที่อยู่ตรงกลางจะส่งต่อแพ็กเก็ตที่หัวข้อภายนอกเป็นของปลายทาง และทำเช่นนั้นโดยไม่รู้ด้วยซ้ำว่าอุโมงค์มีอยู่

การตัดสินใจว่าอุปกรณ์หนึ่งถูกขอให้ทำงานใดเป็นก้าวแรกของแบบฝึกหัด ความสับสนส่วนใหญ่ในรายงานห้องแล็บ และความสับสนจำนวนมากในแผนภาพการผลิต มาจากการมองว่า “รองรับ IPsec” เป็นคุณสมบัติเดียวแทนที่จะเป็นสองอย่าง

การส่งต่อไม่ใช่การสิ้นสุด

ในโหมดอุโมงค์ หัวข้อ IP ภายนอกถูกส่งถึงอุปกรณ์ที่สิ้นสุดอุโมงค์ เราเตอร์ตรงกลางจะค้นหาปลายทางแล้วส่งต่อ เช่นเดียวกับแพ็กเก็ตอื่นใด และเพย์โหลดที่มันบรรทุกนั้นทึบแสงสำหรับมัน

ความทึบแสงนั้นเป็นเจตนา เราเตอร์ไม่ได้ถือความลับของคู่เจรจา ไม่ได้ทำการเจรจา และไม่ต้องการฐานข้อมูลนโยบาย สิ่งที่มันต้องการคือเส้นทางไปยังปลายทางไกลและสิทธิ์ในการส่งต่อแพ็กเก็ต

การสับสนระหว่างสองสิ่งนี้นำไปสู่ข้อผิดพลาดจริง เช่น ขอให้ไฟร์วอลล์ส่งผ่าน “อนุญาต IPsec” ในขณะที่ความต้องการจริงคืออนุญาตโปรโตคอล 50 ระหว่างที่อยู่ที่ระบุ หรือคาดว่าอุปกรณ์กลางจะถอดรหัสเพื่อตรวจสอบทั้งที่ไม่มีกุญแจ

สิ่งที่อุปกรณ์กลางยังต้องทำให้ถูกต้อง

การส่งต่อมีข้อกำหนดของตัวเอง เส้นทางต้องไปถึงปลายทางภายนอกทั้งสองฝ่าย และนโยบายใดก็ตามตามเส้นทางต้องอนุญาตทราฟฟิกภายนอกจริง ไม่ใช่หมายเลขพอร์ตที่เดาเอา กฎที่เขียนขึ้นสำหรับ TCP 443 เพราะมีคนสมมติว่าเป็น TLS จะไม่ตรงกับโปรโตคอล 50

ESP แบบดั้งเดิมคือโปรโตคอล IP 50 ไม่ใช่ TCP 50 และไม่ใช่ UDP 50 และกฎที่ปิดกั้นทราฟฟิกที่ไม่ใช่ TCP จะทิ้งมันไป หากการออกแบบใช้การห่อหุ้ม UDP การขนส่งที่มองเห็นจะเปลี่ยนไปยังพอร์ตห่อหุ้ม และนโยบายต้องตรงกับการออกแบบที่เลือก

ขนาดแพ็กเก็ตก็สำคัญ เส้นทางที่ส่ง probe ขนาดเล็กผ่านไปได้ไม่ได้พิสูจน์ว่าการแลกเปลี่ยนแบบห่อหุ้มทั้งหมดจะพอดี เส้นทางที่ทิ้งแพ็กเก็ตขนาดใหญ่อาจทำให้การเจรจาสำเร็จแต่ภาระงานล้มเหลว ซึ่งดูเหมือนปัญหาแอปพลิเคชัน ทดสอบด้วยทราฟฟิกขนาดเท่าภาระงานจริงก่อนจะโทษอุโมงค์

ทำไมโปรแกรมจำลองจึงเปลี่ยนคำถาม

โปรแกรมจำลองไม่ใช่เราเตอร์ที่มีรายการฟีเจอร์สั้นกว่า แต่เป็นแบบจำลองที่มีชุดย่อยซึ่งบันทึกไว้และมีกฎของตัวเองว่าอุปกรณ์หนึ่งๆ ตั้งค่าให้ทำอะไรได้บ้าง คำถามที่พบบ่อยของ Packet Tracer จาก Cisco ระบุชัดเจนว่าอุปกรณ์และโปรโตคอลเป็นแบบจำลองที่ทำให้ง่ายขึ้น

ดังนั้นคำถามจึงกลายเป็นสามคำถาม อุปกรณ์ที่จำลองส่งต่อแพ็กเก็ตที่สถานการณ์ต้องการหรือไม่ อุปกรณ์เดียวกันนั้นมีพื้นผิวการกำหนดค่าที่บทเรียนสมมติไว้หรือไม่ และคำสั่งที่ยอมรับได้หมายความว่าพฤติกรรมถูกจำลองจริงหรือเพียงถูกแยกวิเคราะห์

คำสั่งที่ไม่มีอยู่อาจเป็นข้อจำกัดของแบบจำลอง ไม่ใช่ข้อผิดพลาดในการกำหนดค่าของคุณ คำสั่งที่มีอยู่สามารถรับไวยากรณ์โดยไม่สร้างพฤติกรรมการผลิตทั้งหมดซ้ำ ตรวจสอบความช่วยเหลือของอุปกรณ์ในเวอร์ชันที่ติดตั้งไว้ก่อนสรุปไปในทิศทางใด

การเขียนเงื่อนไขผ่านสำหรับห้องแล็บ

สำหรับบทเรียน underlay เงื่อนไขผ่านคือการเข้าถึงปลายทางบวกกับแพ็กเก็ตภายนอกที่ผ่านอุปกรณ์กลาง พิสูจน์ด้วยตัวนับของโปรแกรมจำลองเองหรือมุมมองแพ็กเก็ต และระบุชื่อโปรโตคอลที่คุณคาดว่าจะเห็น

สำหรับบทเรียน IPsec ให้เพิ่มสถานะการเจรจาและการไหลของ LAN ถึง LAN ที่ได้รับการป้องกันหนึ่งเส้น หากโปรแกรมจำลองแสดงสมาคมความปลอดภัย ให้บันทึกไว้ หากไม่แสดง ให้เขียนไว้ในรายงานแทนการบอกเป็นนัยว่าอุโมงค์ได้รับการตรวจสอบแล้ว

เก็บเวอร์ชันของโปรแกรมจำลอง อุปกรณ์ที่เลือก และวัตถุประสงค์การเรียนรู้ไว้พร้อมไฟล์โทโพโลยี บันทึกนั้นเองที่ทำให้คนอื่นทำแบบฝึกหัดซ้ำและเข้าใจว่าส่วนใดถูกจำลอง

การกำหนดค่าสำหรับการผลิตต้องมีหลักฐานแพลตฟอร์มของตัวเอง แพ็กเก็ตจำลองสีเขียวเป็นผลลัพธ์ทางการสอน ไม่ใช่คำแถลงความเข้ากันได้เกี่ยวกับฮาร์ดแวร์ที่คุณจะนำไปใช้