EoIP preko LTE VPN veze: izgradnja malog RouterOS laboratorija

EoIP prenosi Ethernet okvire unutar GRE-a, a GRE ništa ne kriptuje. Izgradite laboratorij na radnoj WireGuard vezi, držite most izolovanim, planirajte 42 bajta.

EoIP uzima cijeli Ethernet okvir, umotava ga u GRE i šalje na konfigurisanu udaljenu adresu, zato se rezultat ponaša kao kabel, a ne kao ruta. Iz rutera izlazi IP protokol 47 s izvornim okvirom kao korisnim teretom, pa broadcast, ARP i protokoli izvan IP-a prolaze svi. GRE ne dodaje vlastitu povjerljivost i okvir ostaje čitljiv svemu što vidi vanjski paket. Ta jedna činjenica određuje redoslijed ovog laboratorija: prvo izgradite kriptovanu putanju, a zatim unutar nje prenosite Ethernet.

Šta EoIP umotava, a šta ne

Enkapsulacija je cijeli mehanizam. Okvir stiže na port u mostu, dobija GRE zaglavlje i vanjsko IP zaglavlje i dostavlja se partnerskom ruteru, koji oba skida i ubacuje okvir u svoj most. Prijemni most uči izvorni MAC isto kao s lokalnog porta. Ništa u tom procesu ne provjerava autentičnost okvira niti ga skriva.

Povjerljivost zato mora doći s putanje kojom GRE paket putuje. U ovom dizajnu podloga je WireGuard ili IPsec tunel između dva rutera, a EoIP se prenosi unutar njega. MikroTik također nudi opciju automatskog IPsec-a na samom EoIP interfejsu, što je drugačije rješenje i nije ono što ovaj laboratorij konfiguriše.

Za rutirane IP usluge rutirani VPN je manji dizajn i onaj koji treba preferirati. Posegnite za drugim slojem samo kada uređaju zaista treba da vidi Ethernet okvire s druge lokacije.

Preduslovi: kriptovana podloga i dva neiskorištena porta

Oba rutera trebaju uspostavljenu kriptovanu vezu i adresu na njoj do koje partner može doći. Vanjsku vezu inicira LTE strana, pa čvorište nikada ne zove mobilnu mrežu, a LTE ruter održava NAT stanje koje operater zahtijeva. Potvrdite da je tunel aktivan prije nego što bilo šta dodate iznad, jer EoIP interfejs koji ne može doći do svoje udaljene adrese izgleda isto kao pogrešno konfigurisan.

Svakom ruteru treba i jedan port koji već nije član mosta, VLAN trunk, upravljački interfejs ili produkcijska veza. Laboratorij koji posuđuje živi port nije laboratorij, a način otkaza je broadcast oluja na radnoj mreži. Premjestite administraciju na drugi interfejs ili na konzolu prije nego što počnete.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Te vrijednosti su primjer, a ne zahtjev. Moraju stajati na tunelskim interfejsima i biti rutirane kroz zaštićenu putanju. Vatrozidna politika na oba rutera mora dozvoliti GRE između dvije tunelske adrese, a GRE je IP protokol 47, a ne TCP ili UDP port s brojem 47. Ovaj dizajn nikada ne izlaže sirovi GRE nijednom WAN-u.

Napravite par tunela s odgovarajućim ID-ovima

Dva kraja su jedan logički interfejs definisan dvaput, pa se svako identifikacijsko polje mora slagati. Na čvorištu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Na LTE ruteru adrese se zamjenjuju, a MAC se razlikuje:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID tunela mora se slagati na oba kraja i ne smije se sudariti s drugim parom koji je već konfigurisan na bilo kojem ruteru. MAC adrese su lokalno administrirane vrijednosti koje moraju biti jedinstvene unutar domena drugog sloja kojem se pridružujete, zato ne koristite ponovo vrijednost iz primjera proizvođača. Imena interfejsa su lokalna za svaki ruter i moraju biti dosljedna samo za vaše vlastite skripte.

Aktualni EoIP priručnik dokumentira polja krajnje tačke i ID-a tunela i jasno kaže da je EoIP Ethernet preko GRE-a. Ništa u toj naredbi ne kriptuje ništa, zato provjera podloge dolazi prva.

Premostite samo testne portove

Most je ono što tunel pretvara u segment, a njegovo članstvo je cijela sigurnosna granica. Na čvorištu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Na LTE ruteru:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ove naredbe prave nove mostove i dodaju tačno dva porta svakom. EoIP interfejs je član drugog sloja; kriptovani tunel ostaje rutirani transport i nikada se ne smije dodati kao port mosta. Ne dodajte produkcijski port i ne pokrećite DHCP server na laboratorijskom mostu.

Dajte dva testna hosta adrese u neiskorištenoj podmreži bez konkurentskog DHCP servera, kao što su 192.168.77.11/24 i 192.168.77.12/24. Njima ne treba zadani gateway da bi dosegli jedan drugog unutar te podmreže, a adresa ruterkog interfejsa nije potrebna da bi okviri prešli.

Planirajte trošak zaglavlja prije nego što proširite LAN

EoIP preko IPv4 dodaje Ethernet, GRE i vanjska IP zaglavlja oko prenesenog tereta. Za neoznačeni slučaj MikroTik dokumentira 42 bajta, pa podloga sa 1400 bajtova upotrebljivog IP MTU-a ostavlja 1358 bajtova za unutrašnji okvir. Ta brojka je budžet, a ne univerzalna MSS vrijednost, i ne prisiljava host u mostu da šalje manje okvire.

Provjerite stvarne granice na putanji, pa testirajte najvećim okvirom koji uređaj zaista šalje. Okvir od 1500 bajtova koji se mora fragmentirati unutar zaštićene putanje ponaša se drugačije od onog koji stane, a razlika se pokazuje kao zastoj aplikacije, a ne kao otkaz veze.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP rješava petlje, ne proizvoljne paralelne putanje, zato držite pilot topologiju jednostavnom. Proširenje mosta proširuje i ponašanje broadcasta, multicasta i DHCP-a preko mobilne veze, a taj saobraćaj troši kapacitet bez obzira na to kreće li se koristan okvir.

Planirajte produkcijsko priključenje tek kada laboratorij dostigne veličinu okvira i ponašanje aplikacije koje vam zaista trebaju. Prije tog prelaska dogovorite adresiranje, članstvo u VLAN-u, ovlaštenje za DHCP, sprječavanje petlji i kako neko dolazi do rutera kada je sama veza pala. Proširenje Etherneta spaja domene otkaza zajedno s uređajima, zato zaslužuje prozor za promjene, a ne još jedan port na radnom mostu.

Povezani članci