EoIP през LTE VPN връзка: изграждане на малка RouterOS лаборатория

EoIP пренася Ethernet кадри в GRE, а GRE не криптира нищо. Изградете лабораторията върху работеща WireGuard връзка, дръжте моста изолиран, планирайте 42 байта.

EoIP взема целия Ethernet кадър, обвива го в GRE и го изпраща към конфигуриран отдалечен адрес, затова резултатът се държи като кабел, а не като маршрут. От рутера излиза IP протокол 47 с оригиналния кадър като полезен товар, така че широкомовните пакети, ARP и протоколите извън IP преминават. GRE не добавя собствена поверителност и кадърът остава четим за всичко, което вижда външния пакет. Този единствен факт определя реда на тази лаборатория: първо изградете криптирания път, после пренасяйте Ethernet вътре в него.

Какво обвива EoIP и какво не

Инкапсулацията е целият механизъм. Кадър пристига на порт в мост, получава GRE заглавка и външна IP заглавка и се доставя на партньорския рутер, който премахва двете и вкарва кадъра в своя мост. Приемащият мост научава MAC адреса на източника точно както от локален порт. Нищо в този процес не удостоверява кадъра и не го скрива.

Затова поверителността трябва да идва от пътя, по който пътува GRE пакетът. В този проект подложката е тунел WireGuard или IPsec между двата рутера и EoIP се пренася вътре в него. MikroTik също предлага опция за автоматичен IPsec върху самия EoIP интерфейс, но това е друга схема и не е това, което конфигурира тази лаборатория.

За маршрутизирани IP услуги маршрутизиран VPN е по-малкият дизайн и този, който предпочитате. Прибягвайте до втория слой само когато устройство наистина трябва да вижда Ethernet кадри от другия сайт.

Предварителни условия: криптирана подложка и два неизползвани порта

И двата рутера се нуждаят от установена криптирана връзка и адрес по нея, до който партньорът да достига. Външната връзка се инициира от страната LTE, така че хъбът никога не набира мобилната мрежа, а LTE рутерът поддържа състоянието на NAT, което операторът изисква. Потвърдете, че тунелът работи, преди да добавите нещо отгоре, защото EoIP интерфейс, който не достига отдалечения си адрес, изглежда еднакво с неправилно конфигуриран.

Всеки рутер се нуждае и от един порт, който вече не е член на мост, VLAN транк, интерфейс за управление или производствена връзка. Лаборатория, която заема работещ порт, не е лаборатория, а режимът на отказ е широкомовна буря в работеща мрежа. Преместете управлението на друг интерфейс или на конзолата, преди да започнете.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Тези стойности са пример, а не изискване. Те трябва да стоят върху тунелните интерфейси и да се маршрутизират през защитения път. Политиката на защитната стена и на двата рутера трябва да разрешава GRE между двата тунелни адреса, а GRE е IP протокол 47, а не TCP или UDP порт с номер 47. Този проект никога не излага суров GRE към нито една от WAN мрежите.

Създайте двойката тунели със съвпадащи ID

Двата края са един логически интерфейс, дефиниран два пъти, затова всяко идентифициращо поле трябва да съвпада. На хъба:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

На LTE рутера адресите се разменят и MAC се различава:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID на тунела трябва да съвпада в двата края и да не се сблъсква с друга двойка, вече конфигурирана на някой от рутерите. MAC адресите са локално администрирани стойности, които трябва да са уникални в домейна на втория слой, към който се присъединявате, затова не преизползвайте стойност от пример на доставчик. Имената на интерфейсите са локални за всеки рутер и трябва да са последователни само за вашите собствени скриптове.

Актуалното ръководство за EoIP документира полетата за крайна точка и ID на тунела и казва направо, че EoIP е Ethernet върху GRE. Нищо в тази команда не криптира нищо, затова проверката на подложката е първа.

Мост само за тестовите портове

Мостът е това, което превръща тунела в сегмент, и съставът му е цялата граница за безопасност. На хъба:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

На LTE рутера:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Тези команди създават нови мостове и добавят точно два порта към всеки. EoIP интерфейсът е членът на втория слой; криптираният тунел остава маршрутизиран транспорт и никога не трябва да се добавя като порт на мост. Не добавяйте производствен порт и не стартирайте DHCP сървър върху лабораторния мост.

Дайте на двата тестови хоста адреси в неизползвана подмрежа без конкуриращ DHCP сървър, например 192.168.77.11/24 и 192.168.77.12/24. Те не се нуждаят от шлюз по подразбиране, за да се достигат взаимно в тази подмрежа, и адрес на рутер интерфейс не е необходим, за да преминават кадрите.

Планирайте разходите за опаковка, преди да разширите LAN

EoIP върху IPv4 добавя Ethernet, GRE и външни IP заглавки около пренасяния полезен товар. За немаркирания случай MikroTik документира 42 байта, така че подложка с 1400 байта използваем IP MTU оставя 1358 байта за вътрешния кадър. Тази цифра е бюджет, а не универсална стойност на MSS, и не принуждава хост в мост да изпраща по-малки кадри.

Проверете реалните граници по пътя, после тествайте с най-големия кадър, който устройството действително изпраща. Кадър от 1500 байта, който трябва да се фрагментира в защитения път, се държи различно от такъв, който се побира, и разликата се проявява като застой на приложението, а не като отказ на връзката.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP се справя с цикли, не с произволни паралелни пътища, затова дръжте пилотната топология проста. Разширяването на мост разширява и поведението на широкомовните, multicast и DHCP пакети през мобилната връзка, а този трафик консумира капацитет независимо дали се движи полезен кадър.

Планирайте производствено включване само след като лабораторията достигне размера на кадъра и поведението на приложението, които наистина ви трябват. Преди този преход се договорете за адресиране, членство във VLAN, права за DHCP, предотвратяване на цикли и как някой достига до рутерите, когато самата връзка е паднала. Разширението на Ethernet свързва домейни на отказ заедно с устройства, затова заслужава прозорец за промяна, а не още един порт на работещ мост.

Подобни статии