İki IPsec eşi arasındaki yönlendiricinin IPsec’e ihtiyacı var mı?

“İki saha arasında IPsec yapılandır” diyen bir laboratuvar alıştırması iki farklı işi gizler. İki uç nokta tüneli sonlandırır: müzakere eder, kimlik doğrular, şifreler ve şifresini çözer. Aradaki herhangi bir yönlendirici, dış başlığı uç noktalara ait olan paketleri iletir ve bunu tünelin var olduğunu bilmeden yapar.

Bir cihazdan hangi işin istendiğine karar vermek alıştırmanın ilk adımıdır. Laboratuvar raporlarındaki karışıklığın çoğu ve üretim diyagramlarındaki karışıklığın önemli bir kısmı, “IPsec destekler” ifadesini iki yerine tek bir özellik olarak ele almaktan kaynaklanır.

İletmek sonlandırmak değildir

Tünel modunda dış IP başlığı tüneli sonlandıran cihazlara adreslenmiştir. Ortadaki yönlendirici hedefi arar ve tıpkı diğer her pakette olduğu gibi iletir, taşıdığı yük ise onun için opaktır.

Bu opaklık bilinçlidir. Yönlendirici eşin sırrını tutmaz, bir müzakere yürütmez ve politika veritabanına ihtiyaç duymaz. Uzak uç noktaya giden bir rotaya ve paketi iletme iznine ihtiyacı vardır.

İkisini karıştırmak gerçek hatalara yol açar: gerçek gereksinim belirli adresler arasında protokol 50’ye izin vermekken bir transit güvenlik duvarından “IPsec’e izin vermesini” istemek ya da anahtarı olmadığı halde aradaki cihazın denetim için şifre çözmesini beklemek.

Aradaki cihazın yine de doğru yapması gerekenler

İletmenin kendi gereksinimleri vardır. Rotalar her iki dış uç noktaya ulaşmalıdır, ve yol boyunca her politika tahmini bir bağlantı noktası numarası yerine gerçek dış trafiğe izin vermelidir. Birisi TLS varsaydığı için TCP 443’e karşı yazılan bir kural protokol 50 ile eşleşmeyecektir.

Yerel ESP, IP protokolü 50’dir. TCP 50 değildir ve UDP 50 değildir; TCP dışı trafiği engelleyen bir kural onu düşürür. Tasarım UDP kapsülleme kullanıyorsa görünür taşıma kapsülleme bağlantı noktasına değişir ve politika seçilen tasarımla eşleşmelidir.

Paket boyutu da önemlidir. Küçük bir sonda taşıyan bir rota, kapsüllenmiş tam alışverişin sığdığını kanıtlamaz. Büyük paketleri düşüren bir yol, müzakereyi başarılı, iş yükünü ise başarısız bırakabilir; bu da bir uygulama sorunu gibi görünür. Tüneli suçlamadan önce gerçek iş yükünün boyutundaki trafikle test edin.

Simülatör neden soruyu değiştirir

Simülatör, daha kısa bir özellik listesine sahip bir yönlendirici değildir; belgelenmiş bir alt kümesi ve belirli bir cihazın ne yapmak üzere yapılandırılabileceğine dair kendi kuralları olan bir modeldir. Cisco’nun Packet Tracer SSS’si cihazların ve protokollerin basitleştirilmiş modeller olduğunu açıkça belirtir.

Böylece soru üç soruya dönüşür. Simüle edilen cihaz senaryonun ihtiyaç duyduğu paketleri iletiyor mu? Aynı cihaz dersin varsaydığı yapılandırma yüzeyini sunuyor mu? Ve kabul edilen komut davranışın gerçekten simüle edildiği mi, yoksa yalnızca ayrıştırıldığı mı anlamına geliyor?

Eksik bir komut, yapılandırmanızdaki bir hata değil model kısıtı olabilir. Var olan bir komut, tüm üretim davranışını yeniden üretmeden sözdizimini kabul edebilir. Herhangi bir yönde sonuca varmadan önce kurulu sürümün cihaz yardımını kontrol edin.

Laboratuvar için geçme koşulu yazmak

Underlay dersi için geçme koşulu, uç noktaların erişilebilirliği ile aradaki cihazdan geçen dış paketlerdir. Bunu simülatörün kendi sayaçlarıyla veya bir paket görünümüyle kanıtlayın ve görmeyi beklediğiniz protokolü adlandırın.

IPsec dersi için müzakere durumunu ve korunan bir LAN’dan LAN’a akışı ekleyin. Simülatör güvenlik ilişkilerini gösteriyorsa kaydedin. Göstermiyorsa, tünelin doğrulandığını ima etmek yerine bunu raporda belirtin.

Simülatör sürümünü, seçilen cihazları ve öğrenme hedefini topoloji dosyasıyla birlikte saklayın. Başka birinin alıştırmayı yeniden üretmesini ve hangi parçaların modellendiğini anlamasını sağlayan kayıt budur.

Üretim yapılandırması kendi platform kanıtını gerektirir. Yeşil simüle edilmiş bir paket bir öğretim sonucudur, dağıtacağınız donanım hakkında bir uyumluluk beyanı değildir.