EoIP праз VPN-сувязь LTE: будуем маленькую лабараторыю RouterOS

EoIP бярэ поўны кадр Ethernet, заварочвае яго ў GRE і дасылае на наладжаны выдалены адрас, таму вынік паводзіць сябе як кабель, а не як маршрут. З маршрутызатара выходзіць IP-пратакол 47 з зыходным кадрам як карыснай нагрузкай, таму шырокавяшчальныя пакеты, ARP і пратаколы не на IP праходзяць усе. GRE не дадае ўласнай канфідэнцыяльнасці, і кадр застаецца чытэльным для ўсяго, што бачыць знешні пакет. Гэты адзіны факт вызначае парадак гэтай лабараторыі: спачатку пабудуйце шыфраваны шлях, потым пераносьце Ethernet унутры яго.

Што EoIP заварочвае, а што не

Інкапсуляцыя — гэта ўвесь механізм. Кадр прыходзіць на парт, які ўваходзіць у мост, атрымлівае загаловак GRE і знешні загаловак IP і дастаўляецца партнёрскаму маршрутызатару, які здымае абодва і ўводзіць кадр у свой мост. Мост, які прымае, вывучае зыходны MAC гэтак жа, як ад лакальнага парта. Нішто ў гэтым працэсе не аўтэнтыфікуе кадр і не хавае яго.

Таму канфідэнцыяльнасць мусіць паходзіць з шляху, па якім ідзе пакет GRE. У гэтым праекце ніжні пласт — гэта тунель WireGuard або IPsec паміж двума маршрутызатарамі, і EoIP пераносіцца ўнутры яго. MikroTik таксама прапануе аўтаматычны варыянт IPsec на самім інтэрфейсе EoIP, але гэта іншая схема, і яна не наладжваецца ў гэтай лабараторыі.

Для маршрутызаваных службаў IP маршрутызаваны VPN — гэта меншая канструкцыя, і яна пераважнейшая. Звяртайцеся да другога ўзроўню толькі тады, калі прыладзе сапраўды патрэбна бачыць кадры Ethernet з іншага сайта.

Папярэднія ўмовы: шыфраваны ніжні пласт і два свабодныя парты

Абодвум маршрутызатарам патрэбна ўсталяваная шыфраваная сувязь і адрас на ёй, да якога партнёр можа дасягнуць. Знешняе злучэнне ініцыюе бок LTE, таму цэнтр ніколі не тэлефануе ў мабільную сетку, а маршрутызатар LTE падтрымлівае тую стан NAT, якую патрабуе аператар. Пераканайцеся, што тунель працуе, перш чым нешта дадаваць зверху, бо інтэрфейс EoIP, які не дасягае свайго выдаленага адраса, выглядае гэтак жа, як няправільна наладжаны.

Кожнаму маршрутызатару таксама патрэбны адзін парт, які яшчэ не з'яўляецца членам моста, транкам VLAN, інтэрфейсам кіравання ці прадукцыйнай сувяззю. Лабараторыя, якая пазычае жывы парт, — не лабараторыя, а рэжым адмовы — шырокавяшчальная бура ў працоўнай сетцы. Перанясіце кіраванне на іншы інтэрфейс ці на кансоль, перш чым пачынаць.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Гэтыя значэнні — прыклад, а не патрабаванне. Яны павінны знаходзіцца на інтэрфейсах тунеля і маршрутызавацца праз абаронены шлях. Палітыка фаервола на абодвух маршрутызатарах мусіць дазваляць GRE паміж двума адрасамі тунеля, а GRE — гэта IP-пратакол 47, а не парт TCP ці UDP з нумарам 47. Гэты праект ніколі не выстаўляе сыры GRE ні ў адну з сетак WAN.

Стварыце пару тунеля з аднолькавымі ID

Два канцы — гэта адзін лагічны інтэрфейс, вызначаны двойчы, таму кожнае поле ідэнтыфікацыі мусіць супадаць. На цэнтры:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

На маршрутызатары LTE адрасы мяняюцца месцамі, а MAC адрозніваецца:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID тунеля мусіць супадаць на абодвух канцах і не канфліктаваць з іншай парай, ужо наладжанай на любым з маршрутызатараў. Адрасы MAC — гэта лакальна кіраваныя значэнні, якія павінны быць унікальнымі ўнутры домена другога ўзроўню, да якога вы далучаецеся, таму не паўтарайце значэнне з прыклада пастаўшчыка. Імёны інтэрфейсаў лакальныя для кожнага маршрутызатара і павінны быць узгодненымі толькі для вашых уласных скрыптоў.

Актуальнае кіраўніцтва па EoIP дакументуе палі канцавога пункта і ID тунеля і проста сцвярджае, што EoIP — гэта Ethernet па-над GRE. Нішто ў гэтай камандзе нічога не шыфруе, таму праверка ніжняга пласта ідзе першай.

Мост толькі для тэставых партоў

Мост — гэта тое, што ператварае тунель у сегмент, і яго склад цалкам вызначае мяжу бяспекі. На цэнтры:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

На маршрутызатары LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Гэтыя каманды ствараюць новыя масты і дадаюць у кожны роўна два парты. Інтэрфейс EoIP — гэта член другога ўзроўню; шыфраваны тунель застаецца маршрутызаваным транспартам і ніколі не павінен дадавацца як парт моста. Не дадавайце прадукцыйны парт і не запускайце сервер DHCP на мосце лабараторыі.

Дайце двум тэставым хастам адрасы ў невыкарыстоўванай падсетцы без канкурэнтнага сервера DHCP, напрыклад 192.168.77.11/24 і 192.168.77.12/24. Ім не патрэбен шлюз па змаўчанні, каб дасягнуць адзін аднаго ўнутры гэтай падсеткі, і адрас інтэрфейса маршрутызатара не патрабуецца, каб кадры праходзілі.

Разлічыце накладныя выдаткі, перш чым пашыраць LAN

EoIP па-над IPv4 дадае загалоўкі Ethernet, GRE і знешняга IP вакол пераноснай нагрузкі. Для непазначанага выпадку MikroTik дакументуе 42 байты, таму ніжні пласт з 1400 байтамі карыснага MTU для IP пакідае 1358 байтаў для ўнутранага кадра. Гэтая лічба — бюджэт, а не ўніверсальнае значэнне MSS, і яна не прымушае хост у мосце выдаваць меншыя кадры.

Праверце рэальныя межы на шляху, затым тэстуйце самым вялікім кадрам, які прылада фактычна дасылае. Кадр у 1500 байтаў, які трэба фрагментаваць унутры абароненага шляху, паводзіць сябе інакш, чым той, што змяшчаецца, і розніца праяўляецца як прыпынак праграмы, а не як адмова сувязі.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP апрацоўвае завесы, а не адвольныя паралельныя шляхі, таму трымайце пілотную тапалогію простай. Пашырэнне моста таксама пашырае паводзіны шырокавяшчання, групавога вяшчання і DHCP праз мабільную сувязь, і гэты трафік спажывае ёмістасць незалежна ад таго, ці рухаецца карысны кадр.

Плануйце прадукцыйнае далучэнне толькі тады, калі лабараторыя дасягне памеру кадра і паводзін праграмы, якія вам сапраўды патрэбны. Перад гэтым пераходам дамовіцеся аб адрасацыі, складзе VLAN, паўнамоцтвах DHCP, прадухіленні завес і аб тым, як нехта дасягне маршрутызатараў, калі сама сувязь ляжыць. Пашырэнне Ethernet злучае дамены адмоваў разам з прыладамі, таму яно заслугоўвае акна зменаў, а не яшчэ аднаго парта на працоўным мосце.