No hay un mecanismo incorporado dentro del protocolo IPSEC para verificar las listas de acceso reflejadas. En cambio, el proceso funciona así:
1. Configuración independiente: Las listas de control de acceso (ACLS) y las políticas de IPSec se configuran por separado. Configura sus ACL en enrutadores o firewalls para controlar el tráfico de red en función de las direcciones IP de origen/destino, los puertos y otros criterios. Por separado, configura las políticas IPSEC que especifican con qué pares negociará, qué algoritmos criptográficos usar y qué tráfico (según los selectores como las direcciones IP y los puertos) estará protegido por el túnel.
2. Matriota implícita: El éxito de la negociación IPSEC implica un grado de coincidencia. Si la política de IPSEC permite un par de direcciones IP específicas y un rango de puerto, y las ACL en ambos extremos permiten que ese mismo tráfico transiten, entonces se puede establecer la conexión. Si el ACLS * bloquea el tráfico a pesar de que la política IPSEC lo permite, la conexión fallará:la negociación IPSEC podría tener éxito, pero el tráfico protegido no podrá atravesar la red.
3. Filtrado de tráfico: ACLS actúa como un filtro * antes * y * después de * encriptación IPsec. Esto significa:
* antes de iPsec: El ACL verifica si se permite el paquete inicial (antes del cifrado). Si está bloqueado, iPsec ni siquiera se involucrará.
* Después de iPsec: Después del descifrado, el final de recepción vuelve a verificar con sus ACL para garantizar que se permita el tráfico descifrado.
4. Sin comparación directa: No hay un proceso automatizado en el que IPSEC compara explícitamente dos ACL para verificar que son idénticos o "reflejados". La seguridad de la conexión se basa en la configuración correcta de las políticas IPSEC * y * Los mecanismos de control de acceso de la red en cada lado del túnel.
En resumen, el "reflejo" se logra de manera efectiva al garantizar una configuración consistente en ambos lados:ambos lados deben permitir el tráfico que IPSEC tiene la intención de proteger. Cualquier discrepancia (por ejemplo, un lado permite el tráfico de los otros bloques) dará como resultado problemas de conectividad, no un error específico de IPSEC que indique un desajuste. El administrador es responsable de asegurarse de que estas configuraciones se alineen; IPSEC en sí no maneja esta verificación directamente.