Ikki IPsec hamkor o‘rtasidagi routerga IPsec kerakmi?

«Ikki sayt o‘rtasida IPsec sozlang» deydigan laboratoriya mashqi ikki xil ishni yashiradi. Ikki oxirgi nuqta tunnelni tugatadi: ular muzokara olib boradi, autentifikatsiya qiladi, shifrlaydi va shifrni ochadi. Orasidagi har qanday router tashqi sarlavhasi oxirgi nuqtalarga tegishli paketlarni uzatadi va buni tunnel borligini bilmasdan qiladi.

Qurilmadan qanday ish talab qilinayotganini hal qilish mashqning birinchi qadamidir. Laboratoriya hisobotlaridagi chalkashlikning katta qismi va ishlab chiqarish diagrammalaridagi chalkashlikning salmoqli qismi «IPsec qo‘llab-quvvatlaydi» deganini ikkita emas, bitta xususiyat deb qabul qilishdan kelib chiqadi.

Uzatish — tugatish emas

Tunnel rejimida tashqi IP sarlavha tunnelni tugatuvchi qurilmalarga yo‘naltirilgan. O‘rtadagi router manzilni qidiradi va boshqa har qanday paketdagidek uzatadi, u tashiyotgan foydali yuk esa unga tushunarsiz.

Bu tushunarsizlik ataylab. Router hamkorning sirini saqlamaydi, muzokara olib bormaydi va siyosatlar bazasiga muhtoj emas. Unga uzoq oxirgi nuqtaga marshrut va paketni uzatishga ruxsat kerak.

Ikkalasini chalkashtirish haqiqiy xatolarga olib keladi: haqiqiy talab aniq manzillar o‘rtasida 50 protokoliga ruxsat berish bo‘lsa-da, tranzit xavfsizlik devoridan «IPsec ga ruxsat ber» deb so‘rash yoki kaliti yo‘q bo‘lsa-da, oraliq qurilma tekshiruv uchun shifrni ochadi deb kutish.

Oraliq qurilma baribir nima qilishi kerak

Uzatishning o‘z talablari bor. Marshrutlar ikkala tashqi oxirgi nuqtaga yetib borishi kerak, va yo‘ldagi har qanday siyosat taxmin qilingan port raqamini emas, haqiqiy tashqi trafikni ruxsat etishi kerak. Kimdir TLS deb taxmin qilgani uchun TCP 443 ga qarshi yozilgan qoida 50 protokoliga mos kelmaydi.

Mahalliy ESP — IP 50 protokoli. U TCP 50 emas va UDP 50 emas, TCP bo‘lmagan trafikni bloklaydigan qoida uni tashlab yuboradi. Agar dizayn UDP inkapsulyatsiyasidan foydalansa, ko‘rinadigan transport inkapsulyatsiya portiga o‘tadi va siyosat tanlangan dizaynga mos bo‘lishi kerak.

Paket o‘lchami ham muhim. Kichik zond tashiydigan marshrut to‘liq inkapsulyatsiyalangan almashinuv sig‘ishini isbotlamaydi. Katta paketlarni tashlaydigan yo‘l muzokaralar muvaffaqiyatli, ish yuki esa muvaffaqiyatsiz bo‘lishiga olib kelishi mumkin, bu esa ilova muammosiga o‘xshaydi. Tunnelni ayblashdan oldin haqiqiy ish yuki o‘lchamidagi trafik bilan sinab ko‘ring.

Nega simulyator savolni o‘zgartiradi

Simulyator qisqaroq funksiyalar ro‘yxatiga ega router emas; u hujjatlashtirilgan kichik to‘plamga va ma’lum qurilmani nima qilishga sozlash mumkinligi haqidagi o‘z qoidalariga ega modeldir. Cisco Packet Tracer FAQ qurilmalar va protokollar soddalashtirilgan modellar ekanini aniq aytadi.

Shunday qilib savol uchta savolga aylanadi. Simulyatsiya qilingan qurilma stsenariy uchun kerakli paketlarni uzatadimi? O‘sha qurilma dars nazarda tutgan konfiguratsiya yuzasini taklif qiladimi? Va qabul qilingan buyruq xatti-harakat haqiqatan simulyatsiya qilinayotganini bildiradimi yoki faqat tahlil qilinayotganini?

Yo‘q buyruq sizning konfiguratsiyangizdagi xato emas, model cheklovi bo‘lishi mumkin. Mavjud buyruq barcha ishlab chiqarish xatti-harakatini takrorlamasdan sintaksisni qabul qilishi mumkin. Har qanday yo‘nalishda xulosa qilishdan oldin o‘rnatilgan versiyaning qurilma yordamini tekshiring.

Laboratoriya uchun o‘tish shartini yozish

Underlay darsi uchun o‘tish sharti oxirgi nuqtalarning yetib borilishi va oraliq qurilmadan o‘tadigan tashqi paketlardir. Buni simulyatorning o‘z hisoblagichlari yoki paketlar ko‘rinishi bilan isbotlang va ko‘rishni kutgan protokolni nomlang.

IPsec darsi uchun muzokara holati va bitta himoyalangan LAN-dan-LAN-ga oqimni qo‘shing. Simulyator xavfsizlik assotsiatsiyalarini ko‘rsatsa, ularni yozib oling. Ko‘rsatmasa, tunnel tekshirilganini nazarda tutish o‘rniga buni hisobotda yozing.

Simulyator versiyasini, tanlangan qurilmalarni va o‘quv maqsadini topologiya fayli bilan birga saqlang. Aynan shu yozuv boshqasiga mashqni takrorlash va qaysi qismlar modellashtirilganini tushunish imkonini beradi.

Ishlab chiqarish konfiguratsiyasi o‘z platforma dalillarini talab qiladi. Yashil simulyatsiya qilingan paket o‘qitish natijasidir, siz joylashtirmoqchi bo‘lgan apparatura haqidagi muvofiqlik bayonoti emas.