EoIP sobre un enllaç VPN LTE: construir un petit laboratori RouterOS

EoIP agafa una trama Ethernet completa, l'embolcalla en GRE i l'envia a una adreça remota configurada, i per això el resultat es comporta com un cable i no com una ruta. El que surt del router és el protocol IP 47 amb la trama original com a càrrega útil, de manera que les difusions, l'ARP i els protocols que no són IP hi passen tots. GRE no afegeix cap confidencialitat pròpia, i la trama continua sent llegible per a qualsevol cosa que vegi el paquet exterior. Aquest únic fet decideix l'ordre d'aquest laboratori: primer construïu el camí xifrat, després transporteu-hi Ethernet a dins.

Què embolcalla EoIP i què no

L'encapsulament és tot el mecanisme. Una trama arriba a un port en pont, rep una capçalera GRE i una capçalera IP exterior, i es lliura al router parell, que treu les dues i injecta la trama al seu propi pont. El pont que rep aprèn la MAC d'origen exactament com ho faria des d'un port local. Res d'aquest procés no autentica la trama ni l'amaga.

Per tant, la confidencialitat ha de venir del camí pel qual viatja el paquet GRE. En aquest disseny la capa inferior és un túnel WireGuard o IPsec entre els dos routers, i EoIP es transporta a dins. MikroTik també ofereix una opció d'IPsec automàtic a la mateixa interfície EoIP, que és una altra disposició i no és el que configura aquest laboratori.

Per a serveis IP encaminats, una VPN encaminada és el disseny més petit i el que convé preferir. Recorreu a la capa dos només quan un dispositiu necessiti de veritat veure trames Ethernet de l'altre lloc.

Requisits previs: una capa inferior xifrada i dos ports sense usar

Tots dos routers necessiten un enllaç xifrat establert i una adreça en ell que el parell pugui assolir. El costat LTE inicia la connexió exterior, així que el concentrador no marca mai la xarxa mòbil, i el router LTE manté l'estat NAT que l'operador exigeix. Confirmeu que el túnel està actiu abans d'afegir-hi res a sobre, perquè una interfície EoIP que no pot arribar a la seva adreça remota sembla idèntica a una de mal configurada.

Cada router també necessita un port que no sigui ja membre d'un pont, un tronc VLAN, una interfície de gestió o un enllaç de producció. Un laboratori que manlleva un port viu no és un laboratori, i el mode de fallada és una tempesta de difusió en una xarxa en funcionament. Moveu l'administració a una altra interfície o a la consola abans de començar.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Aquests valors són un exemple i no un requisit. Han de seure a les interfícies del túnel i encaminar-se pel camí protegit. La política de tallafoc d'ambdós routers ha de permetre GRE entre les dues adreces del túnel, i GRE és el protocol IP 47, no un port TCP o UDP amb el número 47. Aquest disseny no exposa mai GRE cru a cap de les dues WAN.

Creeu la parella de túnels amb ID coincidents

Els dos extrems són una sola interfície lògica definida dues vegades, així que cada camp identificador ha de coincidir. Al concentrador:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Al router LTE les adreces s'inverteixen i la MAC és diferent:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

L'ID del túnel ha de coincidir als dos extrems i no ha de xocar amb una altra parella ja configurada en cap dels routers. Les adreces MAC són valors administrats localment que han de ser únics dins del domini de capa dos al qual us incorporeu, així que no reutilitzeu un valor d'un exemple de fabricant. Els noms d'interfície són locals de cada router i només cal que siguin coherents per als vostres propis guions.

El manual actual d'EoIP documenta els camps de punt final i d'ID de túnel, i diu clarament que EoIP és Ethernet sobre GRE. Res d'aquesta ordre no xifra res, i per això la comprovació de la capa inferior va primer.

Ponteu només els ports de prova

Un pont és el que converteix el túnel en un segment, i la seva composició és tota la frontera de seguretat. Al concentrador:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Al router LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Aquestes ordres creen ponts nous i afegeixen exactament dos ports a cadascun. La interfície EoIP és el membre de capa dos; el túnel xifrat continua sent un transport encaminat i no s'ha d'afegir mai com a port de pont. No afegiu cap port de producció i no engegueu un servidor DHCP al pont del laboratori.

Doneu als dos amfitrions de prova adreces en una subxarxa sense usar i sense cap servidor DHCP en competència, com ara 192.168.77.11/24 i 192.168.77.12/24. No necessiten cap porta d'enllaç per defecte per arribar-se l'un a l'altre dins d'aquesta subxarxa, i no cal cap adreça d'interfície del router perquè les trames travessin.

Pressuposteu la sobrecàrrega abans d'estendre una LAN

EoIP sobre IPv4 afegeix capçaleres Ethernet, GRE i IP exterior al voltant de la càrrega transportada. Per al cas sense etiqueta, MikroTik documenta 42 bytes, així que una capa inferior amb 1400 bytes d'MTU IP útil deixa 1358 bytes per a la trama interior. Aquesta xifra és un pressupost i no un valor universal d'MSS, i no obliga un amfitrió en pont a emetre trames més petites.

Verifiqueu els límits reals del camí i després proveu amb la trama més gran que l'aparell envia realment. Una trama de 1500 bytes que s'ha de fragmentar dins del camí protegit es comporta de manera diferent d'una que hi cap, i la diferència es manifesta com un bloqueig de l'aplicació i no com una fallada de l'enllaç.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP gestiona bucles, no camins paral·lels arbitraris, així que manteniu la topologia pilot senzilla. Estendre un pont també estén el comportament de difusió, multicast i DHCP a través de l'enllaç mòbil, i aquest trànsit consumeix capacitat tant si es mou una trama útil com si no.

Planifiqueu una connexió de producció només quan el laboratori assoleixi la mida de trama i el comportament d'aplicació que necessiteu de veritat. Abans d'aquest canvi, acordeu l'adreçament, la pertinença a VLAN, l'autoritat DHCP, la prevenció de bucles i com algú arriba als routers quan l'enllaç mateix és caigut. Una extensió Ethernet uneix dominis de fallada a més de dispositius, així que mereix una finestra de canvi i no un port més en un pont en funcionament.