LTE VPN লিংকে EoIP: ছোট RouterOS ল্যাব তৈরি

EoIP একটি সম্পূর্ণ Ethernet ফ্রেম নেয়, সেটিকে GRE-এর ভিতরে মুড়িয়ে একটি কনফিগার করা দূরবর্তী ঠিকানায় পাঠায়, তাই ফলাফলটি রুটের মতো নয়, কেবলের মতো আচরণ করে। রাউটার থেকে বেরিয়ে যায় IP প্রোটোকল 47, যার পেলোড মূল ফ্রেম, তাই ব্রডকাস্ট, ARP এবং IP-বহির্ভূত প্রোটোকল সবই পার হয়। GRE নিজে কোনো গোপনীয়তা যোগ করে না, এবং বাইরের প্যাকেট দেখতে পাওয়া যেকোনো কিছুর কাছে ফ্রেমটি পঠনযোগ্য থাকে। এই একটিমাত্র তথ্যই এই ল্যাবের ক্রম নির্ধারণ করে: আগে এনক্রিপ্টেড পথ তৈরি করুন, তারপর তার ভিতরে Ethernet বহন করুন।

EoIP কী মোড়ে, আর কী মোড়ে না

এনক্যাপসুলেশনই পুরো প্রক্রিয়া। একটি ফ্রেম ব্রিজের পোর্টে আসে, একটি GRE হেডার ও একটি বাইরের IP হেডার পায়, এবং পিয়ার রাউটারে পৌঁছে যায়, যে দুটিই সরিয়ে ফ্রেমটি নিজের ব্রিজে ঢুকিয়ে দেয়। গ্রহণকারী ব্রিজ সোর্স MAC ঠিক স্থানীয় পোর্ট থেকে শেখার মতোই শেখে। এই প্রক্রিয়ায় কিছুই ফ্রেমটিকে প্রমাণিত করে না বা লুকায় না।

তাই গোপনীয়তা আসতে হবে যে পথে GRE প্যাকেট যাতায়াত করে সেখান থেকে। এই নকশায় আন্ডারলে হলো দুই রাউটারের মধ্যে WireGuard বা IPsec টানেল, এবং EoIP তার ভিতরে বহন করা হয়। MikroTik EoIP ইন্টারফেসেই একটি স্বয়ংক্রিয় IPsec বিকল্পও দেয়, যা ভিন্ন ব্যবস্থা এবং এই ল্যাব তা কনফিগার করে না।

রাউটেড IP সেবার জন্য রাউটেড VPN ছোট নকশা এবং যেটি পছন্দ করা উচিত। দ্বিতীয় স্তরের দিকে হাত বাড়ান কেবল তখনই, যখন কোনো ডিভাইসের সত্যিই অন্য সাইটের Ethernet ফ্রেম দেখা দরকার।

পূর্বশর্ত: একটি এনক্রিপ্টেড আন্ডারলে এবং দুটি অব্যবহৃত পোর্ট

দুই রাউটারেরই একটি প্রতিষ্ঠিত এনক্রিপ্টেড লিংক এবং তাতে এমন একটি ঠিকানা দরকার যা পিয়ার পৌঁছাতে পারে। বাইরের সংযোগ LTE পক্ষ শুরু করে, তাই হাব কখনো মোবাইল নেটওয়ার্কে ডায়াল করে না, এবং LTE রাউটার অপারেটরের চাওয়া NAT অবস্থা বজায় রাখে। উপরে কিছু যোগ করার আগে নিশ্চিত করুন টানেলটি চালু আছে, কারণ যে EoIP ইন্টারফেস তার দূরবর্তী ঠিকানায় পৌঁছাতে পারে না, সেটি ভুলভাবে কনফিগার করা ইন্টারফেসের মতোই দেখায়।

প্রতিটি রাউটারের আরও একটি পোর্ট দরকার যা ইতিমধ্যে ব্রিজ সদস্য, VLAN ট্রাঙ্ক, ম্যানেজমেন্ট ইন্টারফেস বা প্রোডাকশন লিংক নয়। যে ল্যাব চালু পোর্ট ধার করে, সেটি ল্যাব নয়, আর ব্যর্থতার ধরন হলো চালু নেটওয়ার্কে ব্রডকাস্ট ঝড়। শুরু করার আগে প্রশাসনকে অন্য ইন্টারফেসে বা কনসোলে সরান।

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

এই মানগুলো একটি উদাহরণ, আবশ্যকতা নয়। সেগুলোকে টানেল ইন্টারফেসে থাকতে হবে এবং সুরক্ষিত পথ দিয়ে রাউট হতে হবে। দুই রাউটারের ফায়ারওয়াল নীতিকে দুই টানেল ঠিকানার মধ্যে GRE অনুমোদন করতে হবে, আর GRE হলো IP প্রোটোকল 47, 47 নম্বরের TCP বা UDP পোর্ট নয়। এই নকশা কোনো WAN-এ কাঁচা GRE কখনো উন্মুক্ত করে না।

মিলে যাওয়া ID দিয়ে টানেল জোড়া তৈরি করুন

দুই প্রান্ত একটিই লজিক্যাল ইন্টারফেস, দুবার সংজ্ঞায়িত, তাই প্রতিটি শনাক্তকারী ক্ষেত্রকে মিলতে হবে। হাবে:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE রাউটারে ঠিকানাগুলো উল্টে যায় এবং MAC আলাদা:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

টানেল ID দুই প্রান্তে মিলতে হবে এবং কোনো রাউটারে ইতিমধ্যে কনফিগার করা অন্য জোড়ার সঙ্গে সংঘর্ষ করা চলবে না। MAC ঠিকানাগুলো স্থানীয়ভাবে পরিচালিত মান, যেগুলো আপনার যোগ দেওয়া দ্বিতীয় স্তরের ডোমেইনে অনন্য হতে হবে, তাই বিক্রেতার উদাহরণ থেকে মান পুনরায় ব্যবহার করবেন না। ইন্টারফেসের নাম প্রতিটি রাউটারের জন্য স্থানীয় এবং কেবল আপনার নিজের স্ক্রিপ্টের জন্য সামঞ্জস্যপূর্ণ হলেই যথেষ্ট।

বর্তমান EoIP ম্যানুয়াল এন্ডপয়েন্ট ও টানেল-ID ক্ষেত্র নথিভুক্ত করে এবং স্পষ্ট বলে যে EoIP হলো GRE-এর উপর Ethernet। ওই কমান্ডে কিছুই এনক্রিপ্ট করে না, তাই আন্ডারলে যাচাই আগে আসে।

কেবল পরীক্ষার পোর্টগুলো ব্রিজ করুন

ব্রিজই টানেলকে সেগমেন্টে পরিণত করে, আর তার সদস্যপদই সম্পূর্ণ নিরাপত্তা সীমা। হাবে:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE রাউটারে:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

এই কমান্ডগুলো নতুন ব্রিজ তৈরি করে এবং প্রতিটিতে ঠিক দুটি পোর্ট যোগ করে। EoIP ইন্টারফেস দ্বিতীয় স্তরের সদস্য; এনক্রিপ্টেড টানেল রাউটেড পরিবহনই থাকে এবং কখনো ব্রিজ পোর্ট হিসেবে যোগ করা যাবে না। প্রোডাকশন পোর্ট যোগ করবেন না, এবং ল্যাব ব্রিজে DHCP সার্ভার চালু করবেন না।

দুই পরীক্ষা হোস্টকে অব্যবহৃত সাবনেটে প্রতিদ্বন্দ্বী DHCP সার্ভার ছাড়া ঠিকানা দিন, যেমন 192.168.77.11/24 এবং 192.168.77.12/24। ওই সাবনেটের ভিতরে একে অন্যকে পৌঁছাতে তাদের ডিফল্ট গেটওয়ে দরকার নেই, এবং ফ্রেম পার হওয়ার জন্য রাউটার ইন্টারফেস ঠিকানা আবশ্যক নয়।

LAN বাড়ানোর আগে অতিরিক্ত খরচের হিসাব করুন

IPv4-এর উপর EoIP বহন করা পেলোডের চারপাশে Ethernet, GRE ও বাইরের IP হেডার যোগ করে। ট্যাগবিহীন ক্ষেত্রে MikroTik 42 বাইট নথিভুক্ত করে, তাই 1400 বাইট ব্যবহারযোগ্য IP MTU-র আন্ডারলে ভিতরের ফ্রেমের জন্য 1358 বাইট থাকে। এই সংখ্যাটি বাজেট, সর্বজনীন MSS মান নয়, এবং এটি ব্রিজে থাকা হোস্টকে ছোট ফ্রেম পাঠাতে বাধ্য করে না।

পথে প্রকৃত সীমা যাচাই করুন, তারপর অ্যাপ্লায়েন্স সত্যিই যে সবচেয়ে বড় ফ্রেম পাঠায় তা দিয়ে পরীক্ষা করুন। 1500 বাইটের ফ্রেম যা সুরক্ষিত পথের ভিতরে খণ্ডিত করতে হয়, তার আচরণ এমন ফ্রেমের চেয়ে আলাদা যা ধরে যায়, আর পার্থক্যটি লিংক ব্যর্থতা হিসেবে নয়, অ্যাপ্লিকেশন আটকে যাওয়া হিসেবে দেখা যায়।

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP লুপ সামলায়, ইচ্ছামতো সমান্তরাল পথ নয়, তাই পাইলট টপোলজি সরল রাখুন। ব্রিজ বাড়ালে মোবাইল লিংক জুড়ে ব্রডকাস্ট, মাল্টিকাস্ট ও DHCP আচরণও বাড়ে, আর ওই ট্রাফিক কোনো কাজের ফ্রেম চলুক বা না চলুক, ক্ষমতা খায়।

কেবল তখনই প্রোডাকশন সংযোগের পরিকল্পনা করুন, যখন ল্যাব আপনার সত্যিই প্রয়োজনীয় ফ্রেম আকার ও অ্যাপ্লিকেশন আচরণে পৌঁছায়। ওই পরিবর্তনের আগে ঠিকানাকরণ, VLAN সদস্যপদ, DHCP কর্তৃত্ব, লুপ প্রতিরোধ এবং লিংক নিজেই বন্ধ থাকলে কেউ রাউটারগুলোতে কীভাবে পৌঁছাবে তা নিয়ে একমত হন। Ethernet সম্প্রসারণ ডিভাইসের সঙ্গে ব্যর্থতার ডোমেইনও জোড়ে, তাই এটি চালু ব্রিজে আরেকটি পোর্ট নয়, একটি পরিবর্তন-উইন্ডোর যোগ্য।