EoIP přes LTE VPN spoj: stavba malé laboratoře RouterOS

EoIP vezme celý Ethernet rámec, zabalí ho do GRE a odešle na nakonfigurovanou vzdálenou adresu, a proto se výsledek chová jako kabel, ne jako trasa. Z routeru vychází IP protokol 47 s původním rámcem jako užitečným zatížením, takže broadcasty, ARP a protokoly mimo IP procházejí. GRE nepřidává žádnou vlastní důvěrnost a rámec zůstává čitelný pro cokoli, co vidí vnější paket. Tento jediný fakt určuje pořadí tohoto laboratorního cvičení: nejprve postavte šifrovanou cestu, potom v ní přenášejte Ethernet.

Co EoIP obaluje a co ne

Zapouzdření je celý mechanismus. Rámec dorazí na port v bridge, dostane GRE hlavičku a vnější IP hlavičku a je doručen partnerskému routeru, který obě odstraní a rámec vloží do svého bridge. Přijímající bridge se naučí zdrojovou MAC stejně, jako by přišla z lokálního portu. Nic v tomto procesu rámec neautentizuje ani neskrývá.

Důvěrnost tedy musí přicházet z cesty, po níž GRE paket putuje. V tomto návrhu je podložím tunel WireGuard nebo IPsec mezi oběma routery a EoIP se přenáší uvnitř něj. MikroTik také nabízí volbu automatického IPsec přímo na rozhraní EoIP, což je jiné uspořádání a není to, co toto cvičení konfiguruje.

Pro směrované IP služby je směrovaná VPN menší návrh a ten, který je lepší preferovat. Po druhé vrstvě sáhněte jen tehdy, když zařízení skutečně potřebuje vidět Ethernet rámce z druhé lokality.

Předpoklady: šifrované podloží a dva nepoužité porty

Oba routery potřebují navázané šifrované spojení a adresu na něm, kterou partner dosáhne. Vnější spojení iniciuje strana LTE, takže hub nikdy nevytáčí mobilní síť a LTE router udržuje stav NAT, který operátor vyžaduje. Potvrďte, že tunel běží, než na něj cokoli přidáte, protože rozhraní EoIP, které nedosáhne své vzdálené adresy, vypadá stejně jako špatně nastavené.

Každý router také potřebuje jeden port, který už není členem bridge, VLAN trunkem, management rozhraním ani produkčním spojem. Laboratoř, která si půjčuje živý port, není laboratoř a režimem selhání je broadcastová bouře v produkční síti. Přesuňte správu na jiné rozhraní nebo na konzoli, než začnete.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Tyto hodnoty jsou příklad, ne požadavek. Musí ležet na tunelových rozhraních a být směrovány chráněnou cestou. Firewallová politika na obou routerech musí povolit GRE mezi oběma tunelovými adresami a GRE je IP protokol 47, nikoli TCP nebo UDP port s číslem 47. Tento návrh nikdy nevystavuje surové GRE žádné ze sítí WAN.

Vytvořte pár tunelů se shodnými ID

Oba konce jsou jedno logické rozhraní definované dvakrát, takže každé identifikační pole musí souhlasit. Na hubu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Na LTE routeru se adresy obrátí a MAC se liší:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID tunelu musí na obou koncích souhlasit a nesmí kolidovat s jiným párem už nakonfigurovaným na kterémkoli routeru. MAC adresy jsou lokálně spravované hodnoty, které musí být jedinečné v doméně druhé vrstvy, do níž vstupujete, proto neopakujte hodnotu z příkladu výrobce. Názvy rozhraní jsou lokální pro každý router a musí být konzistentní jen pro vaše vlastní skripty.

Aktuální manuál k EoIP dokumentuje pole koncového bodu a ID tunelu a říká jasně, že EoIP je Ethernet nad GRE. Nic v tom příkazu nic nešifruje, a proto kontrola podloží přichází první.

Přemostěte jen testovací porty

Bridge je to, co z tunelu dělá segment, a jeho členství je celá bezpečnostní hranice. Na hubu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Na LTE routeru:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Tyto příkazy vytvářejí nové bridge a přidávají do každého právě dva porty. Rozhraní EoIP je členem druhé vrstvy; šifrovaný tunel zůstává směrovaným transportem a nikdy se nesmí přidat jako port bridge. Nepřidávejte produkční port a nespouštějte DHCP server na laboratorním bridge.

Dejte oběma testovacím hostitelům adresy v nepoužité podsíti bez konkurenčního DHCP serveru, například 192.168.77.11/24 a 192.168.77.12/24. K vzájemnému dosažení v této podsíti nepotřebují výchozí bránu a adresa rozhraní routeru není pro průchod rámců nutná.

Naplánujte režii dřív, než rozšíříte LAN

EoIP nad IPv4 přidává kolem přenášeného zatížení Ethernet, GRE a vnější IP hlavičky. Pro neznačkovaný případ MikroTik uvádí 42 bajtů, takže podloží se 1400 bajty použitelného IP MTU ponechá 1358 bajtů pro vnitřní rámec. Tento údaj je rozpočet, ne univerzální hodnota MSS, a nenutí hostitele v bridge vysílat menší rámce.

Ověřte skutečné meze na cestě a potom testujte největším rámcem, který zařízení opravdu odesílá. Rámec 1500 bajtů, který se musí v chráněné cestě fragmentovat, se chová jinak než ten, který se vejde, a rozdíl se projeví jako zaseknutí aplikace, ne jako výpadek spoje.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP řeší smyčky, ne libovolné paralelní cesty, proto držte pilotní topologii jednoduchou. Rozšíření bridge rozšiřuje i chování broadcastu, multicastu a DHCP přes mobilní spoj a tento provoz spotřebovává kapacitu, ať už se pohybuje užitečný rámec, nebo ne.

Produkční zapojení plánujte až tehdy, když laboratoř dosáhne velikosti rámců a chování aplikace, které skutečně potřebujete. Před tímto přechodem se dohodněte na adresování, členství ve VLAN, pravomoci DHCP, prevenci smyček a na tom, jak se někdo dostane k routerům, když samotné spojení spadne. Rozšíření Ethernetu spojuje domény selhání spolu se zařízeními, proto si zaslouží změnové okno, ne další port na běžícím bridge.