LTE VPN əlaqəsi üzərində EoIP: kiçik RouterOS laboratoriyası qurmaq

EoIP tam Ethernet kadrını götürür, onu GRE daxilində bükür və konfiqurasiya edilmiş uzaq ünvana göndərir; nəticə marşrut kimi deyil, kabel kimi davranır. Routerdən çıxan şey yük kimi orijinal kadrı daşıyan IP protokolu 47-dir, buna görə yayımlar, ARP və IP olmayan protokolların hamısı keçir. GRE özü heç bir məxfilik əlavə etmir və kadr xarici paketi görə bilən hər şey üçün oxunaqlı qalır. Bu tək fakt bu laboratoriyanın sırasını müəyyən edir: əvvəl şifrələnmiş yolu qur, sonra Ethernet-i onun içində daşı.

EoIP nəyi bükür, nəyi bükmür

Qapalama bütün mexanizmdir. Kadr körpülənmiş porta gəlir, GRE başlığı və xarici IP başlığı alır və həmyaşıd routerə çatdırılır; o, hər ikisini çıxarır və kadrı öz körpüsünə ötürür. Qəbul edən körpü mənbə MAC-ı elə öyrənir ki, sanki yerli portdan gəlib. Bu prosesdə heç nə kadrı doğrulamır və ya gizlətmir.

Buna görə məxfilik GRE paketinin keçdiyi yoldan gəlməlidir. Bu dizaynda alt qat iki router arasındakı WireGuard və ya IPsec tunelidir və EoIP onun içində daşınır. MikroTik həmçinin EoIP interfeysinin özündə avtomatik IPsec seçimi təqdim edir; bu fərqli bir quruluşdur və bu laboratoriya onu konfiqurasiya etmir.

Marşrutlanan IP xidmətləri üçün marşrutlanan VPN daha kiçik dizayndır və üstünlük verilməli olandır. İkinci qata yalnız cihaz həqiqətən digər sahənin Ethernet kadrlarını görməli olduqda əl at.

İlkin şərtlər: şifrələnmiş alt qat və iki istifadə olunmayan port

Hər iki routerə qurulmuş şifrələnmiş əlaqə və həmyaşıdın çata bildiyi ünvan lazımdır. Xarici bağlantını LTE tərəfi başladır, buna görə hub heç vaxt mobil şəbəkəyə zəng etmir və LTE routeri operatorun tələb etdiyi NAT vəziyyətini saxlayır. Üstünə bir şey əlavə etməzdən əvvəl tunelin işlədiyini təsdiqlə, çünki uzaq ünvanına çata bilməyən EoIP interfeysi səhv konfiqurasiya edilmiş interfeysdən fərqlənmir.

Hər routerə həm də artıq körpü üzvü, VLAN trunk, idarəetmə interfeysi və ya istehsal əlaqəsi olmayan bir port lazımdır. Canlı portu borc alan laboratoriya laboratoriya deyil və nasazlıq rejimi işlək şəbəkədə yayım fırtınasıdır. Başlamazdan əvvəl idarəetməni başqa interfeysə və ya konsola köçür.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Bu dəyərlər tələb deyil, nümunədir. Onlar tunel interfeyslərində olmalı və qorunan yoldan marşrutlanmalıdır. Hər iki routerin firewall siyasəti iki tunel ünvanı arasında GRE-ə icazə verməlidir və GRE 47 nömrəli TCP və ya UDP portu deyil, IP protokolu 47-dir. Bu dizayn xam GRE-ni heç bir WAN-a heç vaxt açmır.

Uyğun ID-lərlə tunel cütünü yarat

İki uc iki dəfə təyin olunan bir məntiqi interfeysdir, buna görə hər identifikasiya sahəsi uyğun olmalıdır. Hubda:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE routerində ünvanlar tərsinə çevrilir və MAC fərqlənir:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunel ID-si hər iki uçda uyğun olmalı və routerlərin hər hansı birində artıq konfiqurasiya edilmiş başqa cütlə toqquşmamalıdır. MAC ünvanları yerli idarə olunan dəyərlərdir və qoşulduğun ikinci qat domenində unikal olmalıdır, buna görə satıcı nümunəsindəki dəyəri təkrar istifadə etmə. İnterfeys adları hər routerə görə yerli olur və yalnız öz skriptlərin üçün ardıcıl olmalıdır.

Cari EoIP təlimatı endpoint və tunel ID sahələrini sənədləşdirir və EoIP-in GRE üzərində Ethernet olduğunu açıq deyir. O əmrdə heç nə şifrələmir, buna görə alt qat yoxlaması birinci gəlir.

Yalnız test portlarını körpülə

Körpü tuneli seqmentə çevirən şeydir və onun üzvlüyü bütün təhlükəsizlik sərhədidir. Hubda:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE routerində:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Bu əmrlər yeni körpülər yaradır və hər birinə düz iki port əlavə edir. EoIP interfeysi ikinci qat üzvüdür; şifrələnmiş tunel marşrutlanan nəqliyyat olaraq qalır və heç vaxt körpü portu kimi əlavə edilməməlidir. İstehsal portu əlavə etmə və laboratoriya körpüsündə DHCP serveri başlatma.

İki test hostuna rəqib DHCP serveri olmayan istifadə olunmamış subnetdə ünvan ver, məsələn 192.168.77.11/24 və 192.168.77.12/24. Həmin subnetin içində bir-birinə çatmaq üçün default gateway lazım deyil və kadrların keçməsi üçün router interfeys ünvanı tələb olunmur.

LAN-ı genişlətməzdən əvvəl əlavə yükü büdcələ

IPv4 üzərində EoIP daşınan yükün ətrafına Ethernet, GRE və xarici IP başlıqları əlavə edir. Teqlənməmiş hal üçün MikroTik 42 bayt göstərir, buna görə 1400 bayt istifadə oluna bilən IP MTU-ya malik alt qat daxili kadr üçün 1358 bayt qoyur. Bu rəqəm universal MSS dəyəri deyil, büdcədir və körpülənmiş hostu daha kiçik kadrlar göndərməyə məcbur etmir.

Yoldakı real limitləri yoxla, sonra cihazın həqiqətən göndərdiyi ən böyük kadrla test et. Qorunan yolun içində parçalanmalı olan 1500 baytlıq kadr sığan kadrdan fərqli davranır və fərq əlaqə nasazlığı kimi deyil, tətbiqin dayanması kimi görünür.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP döngələri idarə edir, ixtiyari paralel yolları yox, buna görə pilot topologiyanı sadə saxla. Körpünün genişlənməsi yayım, multicast və DHCP davranışını mobil əlaqə boyunca da genişləndirir və bu trafik faydalı kadr hərəkət etsin ya yox, tutum sərf edir.

İstehsal qoşulmasını yalnız laboratoriya həqiqətən lazım olan kadr ölçüsünə və tətbiq davranışına çatdıqda planlaşdır. O keçiddən əvvəl ünvanlama, VLAN üzvlüyü, DHCP səlahiyyəti, döngənin qarşısının alınması və əlaqənin özü söndükdə routerlərə necə çatmaq barədə razılaş. Ethernet genişlənməsi cihazlarla yanaşı nasazlıq domenlərini də birləşdirir, buna görə işlək körpüdə daha bir portdan çox dəyişiklik pəncərəsinə layiqdir.