EoIP oor 'n LTE-VPN-skakel: 'n Klein RouterOS-laboratorium bou

EoIP neem 'n volledige Ethernet-raam, draai dit in GRE toe en stuur dit na 'n gekonfigureerde afgeleë adres, en daarom gedra die resultaat hom soos 'n kabel eerder as soos 'n roete. Wat die router verlaat, is IP-protokol 47 met die oorspronklike raam as nutsvrag, sodat uitsendings, ARP en nie-IP-protokolle alles deurgaan. GRE voeg geen vertroulikheid van sy eie by nie, en die raam bly leesbaar vir enigiets wat die buitenste pakket kan sien. Daardie enkele feit bepaal die volgorde van hierdie laboratorium: bou eers die geënkripteerde pad en dra dan Ethernet daarbinne.

Wat EoIP toevou, en wat nie

Die inkapseling is die hele meganisme. 'n Raam kom op 'n gebrugde poort aan, kry 'n GRE-opskrif en 'n buitenste IP-opskrif, en word aan die eweknie-router afgelewer, wat albei verwyder en die raam in sy eie brug inspuit. Die ontvangende brug leer die bron-MAC net soos van 'n plaaslike poort. Niks in daardie proses verifieer die raam of verberg dit nie.

Vertroulikheid moet dus uit die pad kom waaroor die GRE-pakket reis. In hierdie ontwerp is die onderlaag 'n WireGuard- of IPsec-tonnel tussen die twee routers, en EoIP word daarbinne gedra. MikroTik bied ook 'n outomatiese IPsec-opsie op die EoIP-koppelvlak self, wat 'n ander reëling is en nie wat hierdie laboratorium opstel nie.

Vir gerouteerde IP-dienste is 'n gerouteerde VPN die kleiner ontwerp en die een wat jy moet verkies. Gryp net na laag twee wanneer 'n toestel werklik Ethernet-rame van die ander werf moet sien.

Vereistes: 'n geënkripteerde onderlaag en twee ongebruikte poorte

Albei routers het 'n gevestigde geënkripteerde skakel nodig en 'n adres daarop wat die eweknie kan bereik. Die LTE-kant begin die buitenste verbinding, so die hub skakel nooit die mobiele netwerk nie, en die LTE-router hou die NAT-toestand in stand wat die operateur vereis. Bevestig dat die tonnel op is voordat jy iets daarbo byvoeg, want 'n EoIP-koppelvlak wat nie sy afgeleë adres kan bereik nie, lyk identies aan een wat verkeerd opgestel is.

Elke router het ook een poort nodig wat nie reeds 'n bruglid, 'n VLAN-tronk, 'n bestuurskoppelvlak of 'n produksieskakel is nie. 'n Laboratorium wat 'n lewende poort leen, is nie 'n laboratorium nie, en die foutmodus is 'n uitsaaistorm op 'n werkende netwerk. Skuif administrasie na 'n ander koppelvlak of na die konsole voordat jy begin.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Daardie waardes is 'n voorbeeld eerder as 'n vereiste. Hulle moet op die tonnel-koppelvlakke sit en deur die beskermde pad gerouteer word. Firewall-beleid op albei routers moet GRE tussen die twee tonnel-adresse toelaat, en GRE is IP-protokol 47 eerder as 'n TCP- of UDP-poort genommer 47. Hierdie ontwerp stel nooit rou GRE aan een van die WAN's bloot nie.

Skep die tonnelpaar met passende ID's

Die twee punte is een logiese koppelvlak wat twee keer gedefinieer word, so elke identifiserende veld moet ooreenstem. Op die hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Op die LTE-router draai die adresse om en die MAC verskil:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Die tonnel-ID moet aan albei kante ooreenstem en mag nie bots met 'n ander paar wat reeds op een van die routers opgestel is nie. Die MAC-adresse is plaaslik geadministreerde waardes wat uniek moet wees binne die laag-twee-domein waarin jy aansluit, dus moenie 'n waarde uit 'n verskaffer se voorbeeld hergebruik nie. Koppelvlakname is plaaslik tot elke router en hoef net konsekwent te wees vir jou eie skrifte.

Die huidige EoIP-handleiding dokumenteer die eindpunt- en tonnel-ID-velde, en dit sê duidelik dat EoIP Ethernet oor GRE is. Niks in daardie opdrag enkripteer iets nie, en daarom kom die onderlaag-kontrole eerste.

Brug net die toetsporte

'n Brug is wat die tonnel in 'n segment verander, en sy lidmaatskap is die hele veiligheidsgrens. Op die hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Op die LTE-router:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Hierdie opdragte skep nuwe brûe en voeg presies twee poorte by elkeen. Die EoIP-koppelvlak is die laag-twee-lid; die geënkripteerde tonnel bly 'n gerouteerde vervoer en moet nooit as 'n brugpoort bygevoeg word nie. Moenie 'n produksiepoort byvoeg nie, en moenie 'n DHCP-bediener op die laboratoriumbrug begin nie.

Gee die twee toetshosts adresse in 'n ongebruikte subnet sonder 'n mededingende DHCP-bediener, soos 192.168.77.11/24 en 192.168.77.12/24. Hulle het geen verstekpoort nodig om mekaar binne daardie subnet te bereik nie, en 'n router-koppelvlakadres is nie nodig vir die rame om oor te steek nie.

Begroot die oorhoofse koste voordat jy 'n LAN uitbrei

EoIP oor IPv4 voeg Ethernet-, GRE- en buitenste IP-opskrifte rondom die gedraagde nutsvrag by. Vir die ongemerkte geval dokumenteer MikroTik 42 grepe, so 'n onderlaag met 1400 grepe bruikbare IP-MTU laat 1358 grepe vir die binneste raam oor. Daardie syfer is 'n begroting eerder as 'n universele MSS-waarde, en dit dwing nie 'n gebrugde host om kleiner rame uit te stuur nie.

Verifieer die werklike limiete op die pad en toets dan met die grootste raam wat die toestel werklik stuur. 'n Raam van 1500 grepe wat binne die beskermde pad gefragmenteer moet word, gedra hom anders as een wat pas, en die verskil wys as 'n toepassing wat vasstaak eerder as 'n skakelfout.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP hanteer lusse, nie willekeurige parallelle paaie nie, dus hou die loods-topologie eenvoudig. Om 'n brug uit te brei brei ook uitsending-, multicast- en DHCP-gedrag oor die mobiele skakel uit, en daardie verkeer verbruik kapasiteit of daar nou enige nuttige raam beweeg of nie.

Beplan 'n produksie-aanhegsel eers wanneer die laboratorium die raamgrootte en die toepassingsgedrag bereik wat jy werklik nodig het. Voor daardie oorskakeling, stem saam oor adressering, VLAN-lidmaatskap, DHCP-gesag, lusvoorkoming en hoe iemand die routers bereik wanneer die skakel self af is. 'n Ethernet-uitbreiding verbind foutdomeine sowel as toestelle, so dit verdien 'n veranderingsvenster eerder as nog een poort op 'n werkende brug.