Kailangan ba ng IPsec ang router sa pagitan ng dalawang peer ng IPsec?

Ang isang ehersisyo sa lab na nagsasabing “i-configure ang IPsec sa pagitan ng dalawang site” ay nagtatago ng dalawang magkaibang gawain. Ang dalawang endpoint ay nagtatapos ng tunnel: nagnegosasyon sila, nagpapatunay, nag-e-encrypt, at nagde-decrypt. Anumang router sa gitna ay nagpapasa ng mga packet na ang panlabas na header ay pag-aari ng mga endpoint, at ginagawa ito nang hindi alam na umiiral ang tunnel.

Ang pagpapasya kung aling gawain ang hinihingi sa isang device ay ang unang hakbang ng ehersisyo. Karamihan ng kalituhan sa mga ulat ng lab, at malaking bahagi ng kalituhan sa mga production diagram, ay nagmumula sa pagtrato sa “sumusuporta ng IPsec” bilang isang katangian sa halip na dalawa.

Ang pagpapasa ay hindi pagtatapos

Sa tunnel mode, ang panlabas na IP header ay nakadirihas sa mga device na nagtatapos ng tunnel. Ang router sa gitna ay hinahanap ang destinasyon at nagpapasa, eksaktong gaya ng gagawin nito sa anumang ibang packet, at ang payload na dinadala nito ay opaque para dito.

Ang pagiging opaque na iyon ay sinasadya. Hindi hawak ng router ang sikreto ng peer, hindi nagsasagawa ng negosasyon, at hindi nangangailangan ng database ng patakaran. Kailangan nito ng ruta patungo sa malayong endpoint at pahintulot na ipasa ang packet.

Ang paghahalo ng dalawa ay humahantong sa tunay na pagkakamali: hilingin sa isang transit firewall na “payagan ang IPsec” gayong ang tunay na pangangailangan ay payagan ang protocol 50 sa pagitan ng partikular na mga address, o asahan na ang isang gitnang device ay mag-decrypt para sa inspeksyon gayong wala itong susi.

Ano ang dapat pa ring gawin nang tama ng gitnang device

Ang pagpapasa ay may sariling mga pangangailangan. Dapat maabot ng mga ruta ang dalawang panlabas na endpoint, at anumang patakaran sa landas ay dapat payagan ang tunay na panlabas na trapiko sa halip na hinulaang numero ng port. Ang isang tuntuning isinulat laban sa TCP 443 dahil may nagpalagay ng TLS ay hindi tutugma sa protocol 50.

Ang native na ESP ay protocol IP 50. Hindi ito TCP 50 at hindi UDP 50, at ang tuntuning humaharang sa trapikong hindi TCP ay ibabagsak ito. Kung gumagamit ang disenyo ng UDP encapsulation, ang nakikitang transport ay lumilipat sa port ng encapsulation, at ang patakaran ay dapat tumugma sa napiling disenyo.

Mahalaga rin ang laki ng packet. Ang rutang may maliit na probe ay hindi nagpapatunay na kasya ang buong encapsulated na palitan. Ang landas na nagtatapon ng malalaking packet ay maaaring hayaang magtagumpay ang negosasyon at mabigo ang workload, na mukhang problema ng application. Subukan gamit ang trapikong kasinglaki ng tunay na workload bago sisihin ang tunnel.

Bakit binabago ng simulator ang tanong

Ang simulator ay hindi router na may mas maikling listahan ng feature; ito ay modelo na may dokumentadong subset at sariling mga tuntunin tungkol sa kung ano ang maaaring i-configure sa isang partikular na device. Ang Packet Tracer FAQ ng Cisco ay malinaw na nagsasabi na ang mga device at protocol ay pinasimpleng modelo.

Kaya ang tanong ay nagiging tatlong tanong. Ipinapasa ba ng simulate na device ang mga packet na kailangan ng senaryo? Nag-aalok ba ang parehong device ng configuration surface na ipinapalagay ng aralin? At ang tinanggap na command ay nangangahulugan bang tunay na nagsisimulate ang pag-uugali, o pinaparsa lamang?

Ang nawawalang command ay maaaring limitasyon ng modelo sa halip na pagkakamali sa iyong configuration. Ang umiiral na command ay maaaring tumanggap ng syntax nang hindi ginagawa ang bawat pag-uugali sa produksyon. Suriin ang device help ng naka-install na bersyon bago maghinuha sa alinmang direksyon.

Pagsulat ng kondisyon ng pagpasa para sa lab

Para sa araling underlay, ang kondisyon ng pagpasa ay ang maabot ng mga endpoint at ang mga panlabas na packet na tumatawid sa gitnang device. Patunayan ito gamit ang sariling counter ng simulator o packet view, at pangalanan ang protocol na inaasahan mong makita.

Para sa araling IPsec, idagdag ang estado ng negosasyon at isang protektadong daloy ng LAN-to-LAN. Kung ipinapakita ng simulator ang mga security association, itala ang mga ito. Kung hindi, sabihin iyon sa ulat sa halip na magpahiwatig na na-verify ang tunnel.

Itago ang bersyon ng simulator, mga piniling device, at layunin ng pagkatuto kasama ng topology file. Ang rekord na iyon ang nagpapahintulot sa ibang tao na muling gawin ang ehersisyo at maunawaan kung aling mga bahagi ang namodelo.

Ang configuration sa produksyon ay nangangailangan ng sarili nitong ebidensya ng platform. Ang berdeng simulate na packet ay resulta ng pagtuturo, hindi pahayag ng pagiging tugma tungkol sa hardware na ide-deploy mo.